文档中心

容器服务

请输入

CLB Ingress

为 CLB Ingress 配置 HTTPS 证书

为保证公网环境下的通信安全，业务使用 Ingress 暴露到公网时，通常使用 HTTPS 协议通信。本文为您介绍如何配置 HTTPS 协议的 CLB Ingress。

注意

配置 CLB Ingress 前，请务必仔细阅读 CLB Ingress 使用注意事项。

证书管理

容器服务 CLB Ingress 支持如下几种证书管理方式，主要区别如下表所示。

对比项	CLB 证书	【推荐】证书中心证书
证书存储方式	CLB 存储。	证书中心存储。
证书发现方式	通过证书 ID 发现。	通过证书 ID 发现。
更换证书方式	手工更新。	手工更新。证书中心更新，支持批量更新和部署。

前提条件

已创建工作负载和服务，详情请参见创建工作负载、创建服务。

已登录负载均衡控制台或证书中心，购买或上传证书。

注意

如需使用证书中心的证书，请首先登录您的火山引擎账号，然后单击服务授权，并在弹出的页面中单击立即授权，完成跨服务授权。

（可选）若使用 YAML 配置，请确保已经在本地环境中安装 kubectl 工具，连接至目标集群。详情请参见连接集群。

操作步骤

通过控制台配置

通过 kubectl 命令行配置

登录容器服务控制台。

在集群列表页面，单击目标集群名称，进入集群配置管理页面。

在左侧导航栏中，选择服务与路由 > 路由规则，单击创建路由规则，创建 CLB Ingress。

在 Ingress 类型中，选择传统型负载均衡 CLB。

在监听配置中，选择 HTTPS 协议，并在证书选择框中，单击创建保密字典，配置证书。

配置保密字典的名称、证书来源，并选择对应的证书。单击确定，完成保密字典配置。

回到路由规则配置页面，选择已配置证书，并完成路由规则中的其他参数配置。更多参数说明，请参见通过控制台创建 CLB Ingress。

单击确定，完成配置。

创建 Secret 的 YAML 文件，指定证书的来源和证书 ID。示例文件secret-demo.yaml代码如下：

apiVersion: v1
kind: Secret
metadata:
name: https-secret-demo
type: Opaque
data:
cert_id: Y2V***== # Base64 编码后的证书 ID
cert_source: Y2VydF9jZW50ZXI= # Base64 编码后的证书来源，包括：Y2xi（表示 clb）和 Y2VydF9jZW50ZXI=（表示 cert_center，即证书中心）

说明

您可以使用echo -n "${cert}" | base64命令对证书 ID、证书来源等进行 Base64 编码，请将${cert}替换为您自己的实际值。例如当${cert}取值为cert_center时，编码命令为echo -n "cert_center" | base64，编码后的值为Y2VydF9jZW50ZXI=。

执行以下命令，创建 Secret。

kubectl apply -f secret-demo.yaml

创建 Ingress 的 YAML 文件。示例文件clb-ingress.yaml代码如下：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
annotations:
ingress.vke.volcengine.com/loadbalancer-name: "clb-demo" # 配置负载均衡名称
ingress.vke.volcengine.com/loadbalancer-spec: "small_1" # 配置创建负载均衡的规格。small_1：200Mbps、small_2：500Mbps、medium_1：1000Mbps、meidum_2：2000Mbps、large_1：5000Mbps、large_2：10000Mbps
ingress.vke.volcengine.com/loadbalancer-subnet-id: "subnet-rrhvmyikek1sv0x58***" # 配置负载均衡器实例所属的子网
ingress.vke.volcengine.com/loadbalancer-address-type: "public" # 配置负载均衡类型。取值： public （公网类型）、 private （私网类型）
ingress.vke.volcengine.com/loadbalancer-bandwidth: "10" # 配置公网负载均衡实例的 EIP 带宽峰值，取值范围：1～500Mbps
ingress.vke.volcengine.com/loadbalancer-scheduler: "wrr" # 指定调度算法。取值：wrr(加权轮询)、wlc(加权最小连接数)、sh（源地址哈希）
ingress.vke.volcengine.com/loadbalancer-protocol: "https" # 指定负载均衡实例的监听协议。取值：http 、https
ingress.vke.volcengine.com/loadbalancer-port: "443" # 指定负载均衡器对外的监听端口，取值范围为 1-65535。http 协议默认监听 80 端口，https 协议默认监听 443 端口
name: clb-ingress
namespace: default
spec:
ingressClassName: clb
rules:
- host: example.com # 需要对外提供访问的域名
http:
paths:
- backend:
service:
name: service-demo
port:
number: 80
path: / # 请求匹配的路径
pathType: Prefix # 路径类型：Exact（精确匹配）/Prefix（前缀匹配）
tls:
- secretName: https-secret-demo # 默认证书

说明

CLB Ingresss 当前仅支持配置默认证书，暂不支持为指定域名配置扩展证书。

执行以下命令，创建 Ingress。

kubectl apply -f clb-ingress.yaml

结果验证

查看配置

执行以下命令，查看 ingress 配置。

预期返回结果如下，表示 Ingress 服务创建成功，服务可以访问。

访问服务

使用以下命令，通过域名访问服务。

注意

当您使用自签名证书时，可以使用-k或--insecure参数忽略证书的验证。

在生产环境中使用 TLS 证书时，建议您使用官方可信证书。使用自签名证书且忽略证书验证，可能导致您受到中间人攻击。

预期输出如下，表示可以通过域名访问到后端服务。

其他配置

如何使用 OpenSSL 创建自签名证书

注意

自签名证书通常用于测试、联调或临时验证 HTTPS 配置，不建议直接用于生产环境。生产环境建议使用证书中心或受信任 CA 签发的 TLS 证书，以避免浏览器不信任证书或通信被中间人攻击。

在本地环境中，访问 OpenSSL 官网，下载并安装 OpenSSL。

执行以下命令，生成 4096 位的 RSA 私钥。

openssl genrsa -out tls.key 4096

预期结果如下：

Generating RSA private key, 4096 bit long modulus
........+++++
...+++++
e is 65537 (0x10001)

执行以下命令，使用 RSA 私钥生成证书。

openssl req -new -key tls.key -out tls.csr

预期结果如下，需要填写证书的相关信息，包括：国家、地区、组织名称、域名、电子邮件地址等。

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) []:CN # 2 位国家代码，例如 CN
State or Province Name (full name) []:Shanghai # 地区名称，例如 Shanghai
Locality Name (eg, city) []:Shanghai # 城市名称，例如 Shanghai
Organization Name (eg, company) []:vke # 组织名称
Organizational Unit Name (eg, section) []:vke # 组织中的单位名称
Common Name (eg, fully qualified host name) []:example.com # 该证书对应的域名
Email Address []:user@example.com # 电子邮件地址

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:mypassword # 密码，可以为空

执行以下命令，使用私钥对证书进行签名，有效期配置为 365 天。

openssl x509 -req -in tls.csr -out tls.crt -signkey tls.key -days 365

至此，完成创建 HTTPS 加密所需的私钥tls.key和证书tls.crt。

最近更新时间：2026.08.03 21:12:31

这个页面对您有帮助吗？

有用

无用