Topik ini hanya dimaksudkan sebagai contoh. Panduan ini menjelaskan cara mendapatkan sertifikat TLS dari certificate authority (CA) Let's Encrypt. Langkah-langkah ini diberikan terutama sebagai contoh yang harus diikuti jika Anda tidak memiliki cara lain yang siap untuk mendapatkan pasangan sertifikat/kunci yang diotorisasi oleh CA. Contoh ini menunjukkan cara membuat sertifikat menggunakan CA Let's Encrypt, klien Certbot, dan Cloud DNS Google Cloud Platform.
Tempat Anda dapat menggunakan sertifikat ini
Anda harus memberikan sertifikat TLS untuk dua gateway ingress Istio yang terekspos di luar cluster:
Gateway | Persyaratan TLS |
---|---|
Gateway masuk runtime | Anda dapat menggunakan pasangan kunci/sertifikat yang ditandatangani sendiri atau sertifikat TLS yang diotorisasi. |
Gateway masuk MART (opsional jika tidak menggunakan Apigee Connect) | Memerlukan pasangan kunci/sertifikat TLS resmi atau rahasia Kubernetes. |
Persyaratan
Anda memerlukan nama domain yang diperoleh melalui registrar nama domain. Anda dapat mendaftarkan nama domain melalui Google Domains atau registrar domain lain pilihan Anda.
Mengonfigurasi Cloud DNS
Untuk mendapatkan sertifikat TLS resmi, Anda harus memiliki nama domain yang memenuhi syarat. Langkah berikut menjelaskan cara menggunakan Google Cloud DNS untuk mendapatkan nama domain dan mengelola server domain Anda.- Buka Konsol Google Cloud dan login ke akun Anda.
- Pilih project tempat Apigee Hybrid diinstal.
- Jika Anda belum melakukannya, aktifkan Cloud DNS API. Lihat Mengaktifkan API.
- Buat alamat IP statis:
- Jika Anda menggunakan GKE, ikuti petunjuk dalam
Memesan alamat IP eksternal statis untuk membuat alamat IP statis yang dapat digunakan oleh
proses eksternal untuk berkomunikasi dengan ingress runtime hybrid. Anda dapat memberi alamat tersebut nama apa pun
yang diinginkan, misalnya:
apigee-hybrid-runtime
. Setelah selesai, Anda akan menggunakan nomor IP dalam konfigurasi cluster di langkah berikutnya. Contoh:34.66.75.196
- Jika Anda menggunakan Anthos GKE, ikuti petunjuk di dokumentasi Anthos GKE untuk membuat alamat IP statis.
- Jika Anda menggunakan GKE, ikuti petunjuk dalam
Memesan alamat IP eksternal statis untuk membuat alamat IP statis yang dapat digunakan oleh
proses eksternal untuk berkomunikasi dengan ingress runtime hybrid. Anda dapat memberi alamat tersebut nama apa pun
yang diinginkan, misalnya:
- Dapatkan IP Eksternal yang baru saja Anda cadangkan.
- Membuat kumpulan data untuk endpoint ingress Istio runtime. Ini adalah alamat untuk melakukan panggilan API ke gateway hybrid. Masukkan IP Eksternal yang Anda peroleh di langkah sebelumnya, lalu tambahkan awalan ke nama domain, seperti
example-endpoint
. Untuk mengetahui petunjuknya, lihat Membuat data baru.- Membuat zona publik terkelola. Untuk mengetahui petunjuknya, lihat Membuat zona publik terkelola.
- Buat kumpulan data baru dengan:
- DNS Name: Nama panggilan API eksternal endpoint yang akan berkomunikasi dengan, seperti
api-services
atauexample-endpoint
- Jenis Data Resource: A
- Unit TTL dan TTL: Menerima setelan default
- Alamat IP: IP statis yang Anda buat.
- DNS Name: Nama panggilan API eksternal endpoint yang akan berkomunikasi dengan, seperti
- Tampilan Zone details akan mencantumkan empat server DNS sebagai data NS untuk zona baru Anda. Salin data data DNS, seperti yang ditunjukkan pada contoh berikut:
- Kembali ke halaman domain Anda di registrar (misalnya, Google Domains).
- Pilih domain Anda.
- Pilih DNS.
- Di bagian Name Servers, klik Edit.
Masukkan server nama domain yang Anda salin dari halaman Cloud DNS Layanan Jaringan. Contoh:
Sekarang, DNS Google Cloud akan mengelola data DNS untuk domain Anda.
Menginstal Certbot di VM
Setelah menyiapkan Cloud DNS untuk mengelola server domain, Anda akan menginstal klien Certbot dengan plugin dns_google di Cloud VM. Klien memungkinkan Anda mendapatkan sertifikat yang diotorisasi untuk domain Anda dari endpoint Let's Encrypt.
- Buka Konsol Google Cloud dan login dengan akun yang Anda buat di Langkah 1: Buat akun Google Cloud.
- Pilih project yang Anda buat di Langkah 2: Buat project Google Cloud.
- Pilih IAM & admin > Service accounts.
Tampilan akun layanan menampilkan daftar akun layanan project.
- Untuk membuat akun layanan baru, klik +Create Service Account di bagian atas
tampilan.
Tampilan Detail akun layanan akan ditampilkan.
- Di kolom Nama akun layanan, masukkan nama akun layanan.
Jika ingin, Anda dapat menambahkan deskripsi di kolom Service account description. Deskripsi berguna mengingatkan Anda untuk apa akun layanan tertentu digunakan.
- Klik Create.
Google Cloud membuat akun layanan baru dan menampilkan tampilan Izin akun layanan. Gunakan tampilan ini untuk menetapkan peran ke akun layanan baru Anda.
- Klik menu drop-down Select a role.
- Pilih peran Project Owner.
- Klik Lanjutkan.
- Klik Done.
- Di Konsol Google Cloud, pilih Compute Engine > VM Instances.
- Buat instance VM bernama certmanager.
- Di bagian Boot Disk, pilih CentOS7 dan 20 GB untuk persistent drive SSD.
- Tetapkan Akun Layanan ke akun yang Anda buat di atas.
- Instal Certbot dan plugin dns_google di komputer, lalu jalankan klien Certbot:
sudo su -
yum -y install yum-utils
yum install certbot -y
yum install certbot-dns-google -y
certbot certonly --dns-google -d *.your_domain_name,*.your_domain_name --server https://acme-v02.api.letsencrypt.org/directory
Contoh:
sudo su -
yum -y install yum-utils
yum install certbot -y
yum install certbot-dns-google -y
certbot certonly --dns-google -d *.apigee-hybrid-docs.net,*.apigee-hybrid-docs.net --server https://acme-v02.api.letsencrypt.org/directory
- Anda kini dapat menemukan file sertifikat resmi dan kunci pribadi dalam direktori ini:
cd /etc/letsencrypt/live/your_domain_name/
Contoh:
cd /etc/letsencrypt/live/apigee-hybrid-docs.net
ls
cert.pem chain.pem fullchain.pem privkey.pem README - Salin file
fullchain.pem
danprivkey.pem
ke komputer lokal Anda. - Opsional: Buat rahasia Kubernetes dengan pasangan sertifikat/kunci. Lihat petunjuk di Opsi 2: Kubernetes Secret dalam Mengonfigurasi TLS dan mTLS pada traffic masuk Istio.
- Perbarui file penggantian agar mengarah ke sertifikat dan kunci pribadi.
Contoh:
... envs: - name: test serviceAccountPaths: synchronizer: "your_keypath/synchronizer-manager-service-account.json udca: "your_keypath/analytic-agent-service-account.json virtualhosts: - name: my-env-group sslCertPath: "$HOME/hybrid/apigee-hybrid-setup/tls/fullchain.pem" sslKeyPath: "$HOME/hybrid/apigee-hybrid-setup/tls/privkey.pem" mart: # Assuming you are not using Apigee Connect nodeSelector: key: cloud.google.com/gke-nodepool value: apigee-runtime sslCertPath: "$HOME/hybrid/apigee-hybrid-setup/tls/fullchain.pem" sslKeyPath: "$HOME/hybrid/apigee-hybrid-setup/tls/privkey.pem" replicaCountMin: 1 replicaCountMax: 1
Atau jika menggunakan secret Kubernetes:
... envs: - name: test serviceAccountPaths: synchronizer: "your_keypath/synchronizer-manager-service-account.json udca: "your_keypath/analytic-agent-service-account.json virtualhosts: - name: my-env-group tlsMode: SIMPLE # Note: SIMPLE is the default, MUTUAL is also an available value. sslSecret: myorg-test-policy-secret" mart: # Assuming you are not using Apigee Connect nodeSelector: key: cloud.google.com/gke-nodepool value: apigee-runtime sslSecret: myorg-test-policy-secret" replicaCountMin: 1 replicaCountMax: 1 ...
- Terapkan perubahan:
Jika Anda mengubah konfigurasi
mart
, terapkan perubahan tersebut:apigeectl apply -f your_overrides_file --all-envs
Jika Anda mengubah konfigurasi
envs
, terapkan perubahan tersebut:apigeectl apply -f your_overrides_file --all-envs
Menguji konfigurasi
Deploy dan uji proxy. Lihat Ringkasan membangun proxy API pertama Anda.