如何在 Kubernetes 的 pod-to-service 调用中轻松启用 SSL

Question

我需要能够使用 SSL 从 pod 向服务发出请求。最简单的方法是什么？

在我的设置中，我已将 CoreDNS 配置为将每个请求的目标从 domain.com 重写为 service.namespace.svc.cluster.local。这样做是因为我在 Kubernetes 中运行的调用者软件的限制，我希望这些请求在 Kubernetes 中路由。

Answer 1

根据 cmets，我的建议是使用 initContainer 在包含该服务的 pod 上生成一个新的自签名证书，将您的服务配置为使用这个新证书并确保客户端应用程序不会验证证书的权威性。

这是一个可以添加到服务中的 yaml 示例：

apiVersion: apps/v1
kind: Deployment
metadata:
  creationTimestamp: null
  labels:
    app: alpine
  name: alpine
spec:
  replicas: 1
  selector:
    matchLabels:
      app: alpine
  strategy: {}
  template:
    metadata:
      creationTimestamp: null
      labels:
        app: alpine
    spec:
      initContainers:
      - name: ssl-init
        image: wolmi/tools:v1.0.0
        command: ["sh", "-c", "openssl req -nodes -x509 -newkey rsa:4096 -keyout /tmp/ssl/key.pem -out /tmp/ssl/cert.pem -days 365 -subj "/C=DE/ST=NRW/L=Berlin/O=My Inc/OU=DevOps/CN=www.example.com/emailAddress=dev@www.example.com""]
        volumeMounts:
        - name: ssl-folder
          mountPath: /tmp/ssl
      containers:
      - image: alpine
        name: alpine
        resources: {}
        volumeMounts:
        - name: ssl-folder
          mountPath: /tmp/ssl
      volumes:
      - name: ssl-folder
        emptyDir: {}     

在Deployment 上，您使用emptyDir 参数创建一个卷以允许容器安装它并能够在其中写入，然后initContainer 在该文件夹中生成密钥和证书文件，并且可供所有人使用容器上的容器。