Ingress による HTTPS ロード バランシングにおける複数の SSL 証明書の使用

ユーザー マネージド証明書

1. 1 番目の鍵を作成します。

   openssl genrsa -out test-ingress-1.key 2048
   

2. 1 番目の証明書署名リクエストを作成します。

   openssl req -new -key test-ingress-1.key -out test-ingress-1.csr \
       -subj "/CN=FIRST_DOMAIN"
   

   FIRST_DOMAIN は、所有しているドメイン名（example.com など）に置き換えます。

3. 1 番目の証明書を作成します。

   openssl x509 -req -days 365 -in test-ingress-1.csr -signkey test-ingress-1.key \
       -out test-ingress-1.crt
   

4. 2 番目の鍵を作成します。

   openssl genrsa -out test-ingress-2.key 2048
   

5. 2 番目の証明書署名リクエストを作成します。

   openssl req -new -key test-ingress-2.key -out test-ingress-2.csr \
       -subj "/CN=SECOND_DOMAIN"
   

   SECOND_DOMAIN は、所有している別のドメイン名（examplepetstore.com など）に置き換えます。

6. 2 番目の証明書を作成します。

   openssl x509 -req -days 365 -in test-ingress-2.csr -signkey test-ingress-2.key \
       -out test-ingress-2.crt
   

証明書と鍵の詳細については、SSL 証明書の概要をご覧ください。

これで、2 つの証明書ファイルと 2 つの鍵ファイルの作成が終了しました。

残りのタスクでは、次のプレースホルダを使用して、ドメイン、証明書、鍵を参照します。

• FIRST_CERT_FILE: 最初の証明書ファイルのパス。
• FIRST_KEY_FILE: 最初の証明書に対応する鍵ファイルのパス。
• FIRST_DOMAIN: 所有しているドメイン名。
• FIRST_SECRET_NAME: 最初の証明書と鍵が含まれている Secret の名前。
• SECOND_CERT_FILE: 2 番目の証明書ファイルのパス。
• SECOND_KEY_FILE: 2 番目の証明書に対応する鍵ファイルのパス。
• SECOND_DOMAIN: 所有している 2 番目のドメイン名。
• SECOND_SECRET_NAME: 2 番目の証明書と鍵が含まれている Secret の名前。

Google マネージド証明書

Google マネージド証明書を作成するには、Ingress の Namespace に ManagedCertificate オブジェクトを追加する必要があります。ドメインの証明書を定義するには、次のテンプレートを使用します。

  apiVersion: networking.gke.io/v1
  kind: ManagedCertificate
  metadata:
    name: FIRST_CERT_NAME
  spec:
    domains:
      - FIRST_DOMAIN
  ---
  apiVersion: networking.gke.io/v1
  kind: ManagedCertificate
  metadata:
    name: SECOND_CERT_NAME
  spec:
    domains:
      - SECOND_DOMAIN

次のように置き換えます。

• FIRST_CERT_NAME: 1 つ目の ManagedCertificate オブジェクトの名前。
• FIRST_DOMAIN: 所有する 1 つ目のドメイン。
• SECOND_CERT_NAME: 2 番目の ManagedCertificate オブジェクトの名前。
• SECOND_DOMAIN: 所有する 2 番目のドメイン

ManagedCertificate オブジェクトの名前は、実際に作成する証明書の名前とは異なります。Ingress で使用する ManagedCertificate オブジェクトの名前を確認しておいてください。

Secret

1. 1 つ目の証明書と鍵を保持する Secret を作成します。

   kubectl create secret tls FIRST_SECRET_NAME \
       --cert=FIRST_CERT_FILE \
       --key=FIRST_KEY_FILE
   

2. 2 番目の証明書と鍵を保持する Secret を作成します。

   kubectl create secret tls SECOND_SECRET_NAME \
       --cert=SECOND_CERT_FILE \
       --key=SECOND_KEY_FILE
   

Ingress を作成する

1. 次のマニフェストを my-mc-ingress.yaml として保存します。

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: my-mc-ingress
   spec:
     tls:
     - secretName: FIRST_SECRET_NAME
     - secretName: SECOND_SECRET_NAME
     rules:
     - host: FIRST_DOMAIN
       http:
         paths:
         - pathType: ImplementationSpecific
           backend:
             service:
               name: my-mc-service
               port:
                 number: 60001
     - host: SECOND_DOMAIN
       http:
         paths:
         - pathType: ImplementationSpecific
           backend:
             service:
               name: my-mc-service
               port:
                 number: 60002
   

   FIRST_DOMAIN と SECOND_DOMAIN は、example.com や examplepetstore.com などの所有しているドメイン名に置き換えてください。

2. マニフェストをクラスタに適用します。

   kubectl apply -f my-mc-ingress.yaml
   

3. Ingress の説明を表示します。

   kubectl describe ingress my-mc-ingress
   

   出力は次のようになります。

   Name: my-mc-ingress
   Address: 203.0.113.1
   ...
   TLS:
     FIRST_SECRET_NAME terminates
     SECOND_SECRET_NAME terminates
   Rules:
     Host              Path  Backends
     ----              ----  --------
     FIRST_DOMAIN
                         my-mc-service:my-first-port (<none>)
     SECOND_DOMAIN
                         my-mc-service:my-second-port (<none>)
   Annotations:
   ...
   Events:
     Type    Reason  Age   From                     Message
     ----    ------  ----  ----                     -------
     Normal  ADD     3m    loadbalancer-controller  default/my-mc-ingress
     Normal  CREATE  2m    loadbalancer-controller  ip: 203.0.113.1
   

   出力には、2 つの Secret が Ingress に関連付けられていることが示されます。また、出力には、ロードバランサの外部 IP アドレスも示されます。外部 IP アドレスが設定されていない場合は、数分待ってからコマンドを再度試してください。

事前共有証明書

1. 証明書を作成します。

   gcloud compute ssl-certificates create FIRST_CERT_NAME \
       --certificate=FIRST_CERT_FILE \
       --private-key=FIRST_KEY_FILE
   

   次のように置き換えます。

   • FIRST_CERT_NAME: 最初の証明書の名前。
   • FIRST_CERT_FILE: 最初の証明書ファイルです。
   • FIRST_KEY_FILE: 最初の鍵ファイル。

2. 2 番目の証明書を作成します。

   gcloud compute ssl-certificates create SECOND_CERT_NAME \
       --certificate=SECOND_CERT_FILE \
       --private-key=SECOND_KEY_FILE
   

   次のように置き換えます。

   • SECOND_CERT_NAME: 2 番目の証明書の名前。
   • SECOND_CERT_FILE: 2 番目の証明書ファイル。
   • SECOND_KEY_FILE: 2 番目の鍵ファイル。

3. 証明書リソースを表示します。

   gcloud compute ssl-certificates list
   

   出力は次のようになります。

   NAME                   CREATION_TIMESTAMP
   FIRST_CERT_NAME      2018-11-03T12:08:47.751-07:00
   SECOND_CERT_NAME     2018-11-03T12:09:25.359-07:00
   

Ingress を作成する

1. 次のマニフェストを my-psc-ingress.yaml として保存します。

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: my-psc-ingress
     annotations:
       ingress.gcp.kubernetes.io/pre-shared-cert: "FIRST_CERT_NAME,SECOND_CERT_NAME"
   spec:
     rules:
     - host: FIRST_DOMAIN
       http:
         paths:
         - pathType: ImplementationSpecific
           backend:
             service:
               name: my-mc-service
               port:
                 number: 60001
     - host: SECOND_DOMAIN
       http:
         paths:
         - pathType: ImplementationSpecific
           backend:
             service:
               name: my-mc-service
               port:
                 number: 60002
   

   FIRST_DOMAIN と SECOND_DOMAIN はドメイン名に置き換えます。

   このマニフェストでは、事前共有証明書リソースをアノテーションにリストする Ingress を記述しています。

2. マニフェストをクラスタに適用します。

   kubectl apply -f my-psc-ingress.yaml
   

3. Ingress の説明を表示します。

   kubectl describe ingress my-psc-ingress
   

   出力は次のようになります。

   Name:             my-psc-ingress
   Address:          203.0.113.2
   ...
   Rules:
     Host              Path  Backends
     ----              ----  --------
     FIRST_DOMAIN
                         my-mc-service:my-first-port (<none>)
     SECOND_DOMAIN
                         my-mc-service:my-second-port (<none>)
   Annotations:
     ...
     ingress.gcp.kubernetes.io/pre-shared-cert:    FIRST_CERT_NAME,SECOND_CERT_NAME
     ...
     ingress.kubernetes.io/ssl-cert:               FIRST_CERT_NAME,SECOND_CERT_NAME
   Events:
     Type    Reason  Age   From                     Message
     ----    ------  ----  ----                     -------
     Normal  ADD     2m    loadbalancer-controller  default/my-psc-ingress
     Normal  CREATE  1m    loadbalancer-controller  ip: 203.0.113.2
   

   出力には、Ingress が FIRST_CERT_NAME と SECOND_CERT_NAME という名前の事前共有証明書に関連付けられていることが示されています。また、出力には、ロードバランサの外部 IP アドレスも示されます。外部 IP アドレスが設定されていない場合は、数分待ってからコマンドを再度試してください。

Google マネージド証明書

Ingress を作成する

1. 次のマニフェストを my-gmc-ingress.yaml として保存します。

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: my-gmc-ingress
     annotations:
       networking.gke.io/managed-certificates: "FIRST_CERT_NAME,SECOND_CERT_NAME"
   spec:
     rules:
     - host: FIRST_DOMAIN
       http:
         paths:
         - pathType: ImplementationSpecific
           backend:
             service:
               name: my-mc-service
               port:
                 number: 60001
     - host: SECOND_DOMAIN
       http:
         paths:
         - pathType: ImplementationSpecific
           backend:
             service:
               name: my-mc-service
               port:
                 number: 60002
   

   FIRST_DOMAIN と SECOND_DOMAIN はドメイン名に置き換えます。

   このマニフェストでは、事前共有証明書リソースをアノテーションにリストする Ingress を記述しています。

2. マニフェストをクラスタに適用します。

   kubectl apply -f my-gmc-ingress.yaml
   

3. Ingress の説明を表示します。

   kubectl describe ingress my-gmc-ingress
   

   出力は次のようになります。

   Name:             my-gmc-ingress
   Address:          203.0.113.2
   ...
   Rules:
     Host              Path  Backends
     ----              ----  --------
     FIRST_DOMAIN
                         my-mc-service:my-first-port (<none>)
     SECOND_DOMAIN
                         my-mc-service:my-second-port (<none>)
   Annotations:
     ...
     ingress.gcp.kubernetes.io/pre-shared-cert:    mcrt-a6e41ce4-2b39-4334-84ce-867ff543c424,mcrt-bbff4116-f014-4800-a43a-4095bffeb4f4
     ...
     ingress.kubernetes.io/ssl-cert:               mcrt-a6e41ce4-2b39-4334-84ce-867ff543c424,mcrt-bbff4116-f014-4800-a43a-4095bffeb4f4
     networking.gke.io/managed-certificates:       FIRST_CERT_NAME,SECOND_CERT_NAME
   Events:
     Type    Reason  Age   From                     Message
     ----    ------  ----  ----                     -------
     Normal  ADD     2m    loadbalancer-controller  default/my-gmc-ingress
     Normal  CREATE  1m    loadbalancer-controller  ip: 203.0.113.2
   

   出力には、Ingress が FIRST_CERT_NAME と SECOND_CERT_NAME という名前のマネージド証明書に関連付けられていることが示されています。GKE は、ManagedCertificate オブジェクトを使用して作成した Google マネージド証明書を ingress.gcp.kubernetes.io/pre-shared-cert アノテーションと ingress.kubernetes.io/ssl-cert アノテーションに自動的に設定します。また、出力には、ロードバランサの外部 IP アドレスも示されます。外部 IP アドレスが設定されていない場合は、数分待ってからコマンドを再度試してください。