Utiliser vos propres certificats TLS

Cette page explique comment configurer Cloud Run pour Anthos sur Google Cloud pour utiliser votre propre certificat SSL/TLS, lorsque vous ne souhaitez pas utiliser la fonctionnalité de certificats TLS gérés.

La passerelle d'entrée Istio peut accepter le protocole TLS fourni par votre certificat après l'avoir stocké dans un secret Kubernetes et l'avoir spécifié dans la spécification de la passerelle d'entrée Istio.

Avant de commencer

Dans ces instructions, nous partons du principe que vous disposez déjà de vos propres certificats TLS.

Stocker un certificat ou une clé privée TLS dans un secret Kubernetes

Pour stocker des certificats dans un secret, procédez comme suit :

  1. Copiez les certificats dans votre répertoire actuel.

  2. Exécutez la commande suivante pour créer un secret qui stocke les certificats, où privkey.pem contient votre clé privée de certificat et fullchain.pem contient le certificat public :

    kubectl create --namespace gke-system secret tls SECRET_NAME \
      --key privkey.pem \
      --cert fullchain.pem
    

Spécifier votre certificat TLS pour la passerelle d'entrée Istio

Modifiez la spécification de la passerelle d'entrée Istio pour utiliser le secret Kubernetes contenant votre certificat TLS :

  1. Ouvrez les spécifications de la passerelle partagée pour les modifier :

    kubectl edit gateway gke-system-gateway --namespace knative-serving
  2. Spécifiez votre certificat TLS à l'aide du secret que vous avez créé précédemment, en ajoutant la section suivante à la spécification de votre passerelle :

    - hosts:
      - "*"
      port:
        name: https
        number: 443
        protocol: HTTPS
      tls:
        mode: SIMPLE
        credentialName: SECRET_NAME
    

    La spécification de votre passerelle doit se présenter comme suit :

    apiVersion: networking.istio.io/v1alpha3
    kind: Gateway
    metadata:
    # ... skipped ...
    spec:
      selector:
        istio: ingressgateway
      servers:
        - hosts:
          - "*"
          port:
            name: http
            number: 80
            protocol: HTTP
        - hosts:
          - "*"
          port:
            name: https
            number: 443
            protocol: HTTPS
          tls:
            mode: SIMPLE
            credentialName: SECRET_NAME
    

    Si vous ajoutez plusieurs certificats TLS pour deux services différents dans des espaces de noms différents, la spécification de votre passerelle peut ressembler à ceci :

    apiVersion: networking.istio.io/v1alpha3
    kind: Gateway
    metadata:
    # ... skipped ...
    spec:
      selector:
        istio: ingressgateway
      servers:
      - hosts:
        - "*"
        port:
          name: http
          number: 80
          protocol: HTTP
      - port:
          number: 443
          name: https-SERVICE1_NAME
          protocol: HTTPS
        tls:
          mode: SIMPLE
          credentialName: SECRET1_NAME
        hosts:
        - SERVICE1_NAME.NAMESPACE1.example.com
      - port:
          number: 443
          name: https-SERVICE2_NAME
          protocol: HTTPS
        tls:
          mode: SIMPLE
          credentialName: SECRET2_NAME
        hosts:
        - SERVICE2_NAME.NAMESPACE2.example.com
    
  3. Enregistrez les modifications.

Après cette modification, vous pouvez utiliser le protocole HTTPS pour accéder à vos services déployés.