为保证公网环境下的通信安全，业务使用 Ingress 暴露到公网时，通常使用 HTTPS 协议通信。本文为您介绍如何配置 HTTPS 协议的 CLB Ingress。

注意

配置 CLB Ingress 前，请务必仔细阅读 CLB Ingress 使用注意事项。

## 证书管理容器服务 CLB Ingress 支持如下几种证书管理方式，主要区别如下表所示。 |对比项 |CLB 证书 |【推荐】证书中心证书 | |---|---|---| |证书存储方式 |CLB 存储。 |证书中心存储。 | |证书发现方式 |通过证书 ID 发现。 |通过证书 ID 发现。 | |更换证书方式 |手工更新。 |* 手工更新。

* 证书中心更新，支持批量更新和部署。 | ## 前提条件 * 已创建工作负载和服务，详情请参见 [创建工作负载](https://www.volcengine.com/docs/6460/100965)、[创建服务](https://docs.volcengine.com/docs/6460/100984)。 * 已登录 [负载均衡控制台](https://console.volcengine.com/clb) 或 [证书中心](https://console.volcengine.com/certificate-center)，购买或上传证书。

注意

如需使用证书中心的证书，请首先登录您的火山引擎账号，然后单击服务授权，并在弹出的页面中单击 立即授权，完成跨服务授权。

* （可选）若使用 YAML 配置，请确保已经在本地环境中安装 kubectl 工具，连接至目标集群。详情请参见 [连接集群](https://www.volcengine.com/docs/6460/100942)。 ## 操作步骤通过控制台配置 1. 登录 [容器服务控制台](https://console.volcengine.com/vke)。 2. 在集群列表页面，单击目标集群名称，进入集群配置管理页面。 3. 在左侧导航栏中，选择 **服务与路由 \> 路由规则**，单击 **创建路由规则**，创建 CLB Ingress。 * 在 ** Ingress 类型** 中，选择 **传统型负载均衡 CLB**。 * 在监听配置中，选择 ** HTTPS 协议**，并在证书选择框中，单击创建保密字典，配置证书。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_34a9ad849b47c037de5b57a7fb75c5c5.png) 4. 配置保密字典的名称、证书来源，并选择对应的证书。单击 **确定**，完成保密字典配置。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_7a3b112920b6965f1238233c819332eb.png) 5. 回到路由规则配置页面，选择已配置证书，并完成路由规则中的其他参数配置。更多参数说明，请参见 [通过控制台创建 CLB Ingress](https://docs.volcengine.com/docs/6460/192718)。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_2ea03ab764daf02d2f26a3347575d1b5.png) 6. 单击 **确定**，完成配置。通过 kubectl 命令行配置 1. 创建 Secret 的 YAML 文件，指定证书的来源和证书 ID。示例文件`secret-demo.yaml`代码如下： ```YAML apiVersion: v1 kind: Secret metadata: name: https-secret-demo type: Opaque data: cert_id: Y2V***== # Base64 编码后的证书 ID cert_source: Y2VydF9jZW50ZXI= # Base64 编码后的证书来源，包括：Y2xi（表示 clb）和 Y2VydF9jZW50ZXI=（表示 cert_center，即证书中心） ```

说明

您可以使用echo -n "${cert}" | base64命令对证书 ID、证书来源等进行 Base64 编码，请将${cert}替换为您自己的实际值。例如当${cert}取值为cert_center时，编码命令为echo -n "cert_center" | base64，编码后的值为Y2VydF9jZW50ZXI=。

2. 执行以下命令，创建 Secret。 ```Bash kubectl apply -f secret-demo.yaml ``` 3. 创建 Ingress 的 YAML 文件。示例文件`clb-ingress.yaml`代码如下： ```YAML apiVersion: networking.k8s.io/v1 kind: Ingress metadata: annotations: ingress.vke.volcengine.com/loadbalancer-name: "clb-demo" # 配置负载均衡名称 ingress.vke.volcengine.com/loadbalancer-spec: "small_1" # 配置创建负载均衡的规格。small_1：200Mbps、small_2：500Mbps、medium_1：1000Mbps、meidum_2：2000Mbps、large_1：5000Mbps、large_2：10000Mbps ingress.vke.volcengine.com/loadbalancer-subnet-id: "subnet-rrhvmyikek1sv0x58***" # 配置负载均衡器实例所属的子网 ingress.vke.volcengine.com/loadbalancer-address-type: "public" # 配置负载均衡类型。取值： public （公网类型）、 private （私网类型） ingress.vke.volcengine.com/loadbalancer-bandwidth: "10" # 配置公网负载均衡实例的 EIP 带宽峰值，取值范围：1～500Mbps ingress.vke.volcengine.com/loadbalancer-scheduler: "wrr" # 指定调度算法。取值：wrr(加权轮询)、wlc(加权最小连接数)、sh（源地址哈希） ingress.vke.volcengine.com/loadbalancer-protocol: "https" # 指定负载均衡实例的监听协议。取值：http 、https ingress.vke.volcengine.com/loadbalancer-port: "443" # 指定负载均衡器对外的监听端口，取值范围为 1-65535。http 协议默认监听 80 端口，https 协议默认监听 443 端口 name: clb-ingress namespace: default spec: ingressClassName: clb rules: - host: example.com # 需要对外提供访问的域名 http: paths: - backend: service: name: service-demo port: number: 80 path: / # 请求匹配的路径 pathType: Prefix # 路径类型：Exact（精确匹配）/Prefix（前缀匹配） tls: - secretName: https-secret-demo # 默认证书 ```

说明

CLB Ingresss 当前仅支持配置默认证书，暂不支持为指定域名配置扩展证书。

4. 执行以下命令，创建 Ingress。 ```Bash kubectl apply -f clb-ingress.yaml ``` ## 结果验证 ### 查看配置执行以下命令，查看 ingress 配置。 ```Bash kubectl get ingress ``` 预期返回结果如下，表示 Ingress 服务创建成功，服务可以访问。 ```Bash NAME CLASS HOSTS ADDRESS PORTS AGE clb-ingress clb example.com 180.xxx.xxx.xxx 80,443 74s ``` ### 访问服务使用以下命令，通过域名访问服务。 ```Bash curl -H "Host: example.com" https://180.xxx.xxx.xxx --insecure ```

注意

当您使用自签名证书时，可以使用-k或--insecure参数忽略证书的验证。

在生产环境中使用 TLS 证书时，建议您使用官方可信证书。使用自签名证书且忽略证书验证，可能导致您受到中间人攻击。

预期输出如下，表示可以通过域名访问到后端服务。 ```HTML Welcome to nginx!

Welcome to nginx!

If you see this page, the nginx web server is successfully installed and working. Further configuration is required.

For online documentation and support please refer to nginx.org.
Commercial support is available at nginx.com.

Thank you for using nginx.

``` ## 其他配置 ### 如何使用 OpenSSL 创建自签名证书

注意

自签名证书通常用于测试、联调或临时验证 HTTPS 配置，不建议直接用于生产环境。生产环境建议使用证书中心或受信任 CA 签发的 TLS 证书，以避免浏览器不信任证书或通信被中间人攻击。

1. 在本地环境中，访问 [OpenSSL 官网](https://www.openssl.org/)，下载并安装 OpenSSL。 2. 执行以下命令，生成 4096 位的 RSA 私钥。 ```Bash openssl genrsa -out tls.key 4096 ``` 预期结果如下： ```Bash Generating RSA private key, 4096 bit long modulus ........+++++ ...+++++ e is 65537 (0x10001) ``` 3. 执行以下命令，使用 RSA 私钥生成证书。 ```Bash openssl req -new -key tls.key -out tls.csr ``` 预期结果如下，需要填写证书的相关信息，包括：国家、地区、组织名称、域名、电子邮件地址等。 ```Bash You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) []:CN # 2 位国家代码，例如 CN State or Province Name (full name) []:Shanghai # 地区名称，例如 Shanghai Locality Name (eg, city) []:Shanghai # 城市名称，例如 Shanghai Organization Name (eg, company) []:vke # 组织名称 Organizational Unit Name (eg, section) []:vke # 组织中的单位名称 Common Name (eg, fully qualified host name) []:example.com # 该证书对应的域名 Email Address []:user@example.com # 电子邮件地址 Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []:mypassword # 密码，可以为空 ``` 4. 执行以下命令，使用私钥对证书进行签名，有效期配置为 365 天。 ```Bash openssl x509 -req -in tls.csr -out tls.crt -signkey tls.key -days 365 ``` 5. 至此，完成创建 HTTPS 加密所需的私钥`tls.key`和证书`tls.crt`。