Kubernetes Ingress 挂载SSL证书全流程指南

一、为什么需要Ingress挂载SSL证书？

在Kubernetes集群中，Ingress作为流量入口控制器，承担着将外部请求路由到内部Service的重要职责。随着网络安全要求的提升，HTTPS已成为Web服务的标配，而SSL/TLS证书则是实现HTTPS的核心组件。通过Ingress挂载SSL证书，可以实现：

1. 数据传输加密：防止中间人攻击和数据窃取
2. 身份验证：验证服务器身份，防止伪造
3. SEO优化：搜索引擎对HTTPS站点有排名偏好
4. 合规要求：满足PCI DSS等安全标准的强制要求

二、SSL证书准备阶段

1. 证书类型选择

证书类型	适用场景	验证方式	有效期
DV证书	个人博客/测试环境	域名所有权验证	1年
OV证书	企业官网	组织信息验证	1-2年
EV证书	金融/电商	严格组织验证	1-2年
通配符证书	多子域名场景	域名验证	1年
多域名证书	多个不同域名	域名验证	1年

建议：开发测试环境使用DV证书，生产环境根据业务需求选择OV或EV证书。

2. 证书获取方式

免费证书方案（推荐开发环境）

• Let’s Encrypt：90天有效期，支持ACME协议自动续期
• ZeroSSL：提供免费DV证书，有效期90天

商业证书方案（生产环境）

• DigiCert
• GlobalSign
• Sectigo
• 阿里云SSL证书
• 腾讯云SSL证书

3. 证书文件准备

完整的SSL证书通常包含：

• 证书文件（.crt或.pem）
• 私钥文件（.key）
• 中间证书链（可选）

文件格式转换示例：

# 将PKCS12格式转换为PEM格式
openssl pkcs12 -in cert.p12 -out cert.pem -nodes
# 合并证书和中间链
cat domain.crt intermediate.crt > fullchain.crt

三、Ingress挂载SSL证书实施步骤

1. 创建Kubernetes Secret存储证书

kubectl create secret tls my-tls-secret \
  --cert=path/to/cert.pem \
  --key=path/to/key.pem \
  -n your-namespace

验证Secret内容：

kubectl get secret my-tls-secret -n your-namespace -o yaml

2. 配置Ingress资源

基础配置示例（Nginx Ingress）

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: example-ingress
  namespace: your-namespace
  annotations:
    nginx.ingress.kubernetes.io/ssl-redirect: "true"
    nginx.ingress.kubernetes.io/force-ssl-redirect: "true"
spec:
  tls:
  - hosts:
    - example.com
    secretName: my-tls-secret
  rules:
  - host: example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: my-service
            port:
              number: 80

高级配置选项

注解	说明	示例值
nginx.ingress.kubernetes.io/ssl-protocols	指定TLS协议版本	“TLSv1.2 TLSv1.3”
nginx.ingress.kubernetes.io/ssl-ciphers	指定加密套件	“ECDHE-ECDSA-AES128-GCM-SHA256”
nginx.ingress.kubernetes.io/hsts	启用HSTS头	“true”
nginx.ingress.kubernetes.io/hsts-max-age	HSTS有效期	“31536000”
nginx.ingress.kubernetes.io/hsts-include-subdomains	包含子域名	“true”
nginx.ingress.kubernetes.io/hsts-preload	预加载HSTS	“true”

3. 多域名证书配置

spec:
  tls:
  - hosts:
    - example.com
    - www.example.com
    - api.example.com
    secretName: my-wildcard-secret

4. 通配符证书配置

spec:
  tls:
  - hosts:
    - "*.example.com"
    secretName: wildcard-secret

四、证书验证与调试

1. 验证证书有效性

# 使用openssl验证证书
openssl s_client -connect example.com:443 -servername example.com < /dev/null 2>/dev/null | openssl x509 -noout -text
# 检查证书链
openssl verify -CAfile intermediate.crt domain.crt

2. 常见问题排查

问题1：证书不匹配错误

• 现象：SSL_ERROR_BAD_CERT_DOMAIN
• 原因：证书域名与访问域名不一致
• 解决方案：确保证书包含所有访问域名

问题2：证书过期

• 现象：NET::ERR_CERT_DATE_INVALID
• 解决方案：提前30天设置证书续期提醒

问题3：中间证书缺失

• 现象：浏览器显示”不安全”
• 解决方案：合并证书和中间链文件

问题4：Ingress控制器未更新

• 现象：配置修改后不生效
• 解决方案：删除Ingress控制器Pod强制重启

五、证书自动续期方案

1. 使用Cert-Manager（推荐）

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-prod
spec:
  acme:
    email: your-email@example.com
    server: https://acme-v02.api.letsencrypt.org/directory
    privateKeySecretRef:
      name: letsencrypt-prod-account-key
    solvers:
    - http01:
        ingress:
          class: nginx

2. 创建Certificate资源

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: example-com-tls
spec:
  secretName: my-tls-secret
  issuerRef:
    name: letsencrypt-prod
    kind: ClusterIssuer
  commonName: example.com
  dnsNames:
  - example.com
  - www.example.com

六、最佳实践建议

1. 证书管理：

   • 生产环境使用ACME协议自动续期
   • 建立证书过期预警机制（提前30天）
   • 证书私钥存储在Kubernetes Secret中，启用RBAC权限控制

2. 性能优化：

   • 启用OCSP Stapling减少TLS握手延迟
   • 选择现代加密套件（如ChaCha20-Poly1305）
   • 配置会话恢复（Session Resumption）

3. 安全加固：

   • 禁用不安全的TLS 1.0/1.1
   • 实施HSTS预加载
   • 定期进行SSL漏洞扫描

4. 监控告警：

   • 监控证书过期时间（Prometheus+Alertmanager）
   • 跟踪TLS握手成功率
   • 记录证书变更历史

七、不同Ingress控制器的特殊配置

1. Traefik Ingress

apiVersion: traefik.io/v1alpha1
kind: IngressRoute
metadata:
  name: traefik-ingress
spec:
  entryPoints:
    - websecure
  routes:
    - match: Host(`example.com`)
      kind: Rule
      services:
        - name: my-service
          port: 80
  tls:
    secretName: my-tls-secret

2. AWS ALB Ingress

apiVersion: elbv2.k8s.aws/v1beta1
kind: IngressGroup
metadata:
  name: alb-ingress
spec:
  listeners:
    - port: 443
      protocol: HTTPS
      sslPolicy: ELBSecurityPolicy-TLS-1-2-Ext-2018-06
      defaultAction:
        type: forward
        targetGroupArn: arn:aws:elasticloadbalancing:...
      certificates:
        - certificateArn: arn:aws:acm:...

八、总结与展望

通过本文的详细指导，开发者可以掌握：

1. 不同类型SSL证书的选择策略
2. Kubernetes Secret存储证书的最佳实践
3. 主流Ingress控制器（Nginx/Traefik/ALB）的SSL配置方法
4. 证书自动续期方案的实施
5. 高级安全配置选项

随着HTTP/3和TLS 1.3的普及，未来的SSL配置将更加注重性能和安全性。建议开发者持续关注：

• 量子安全加密算法的发展
• 0-RTT握手技术的生产应用
• 证书透明度日志的集成

通过规范的SSL证书管理，不仅可以提升系统安全性，还能改善用户体验和搜索引擎排名，是现代Web服务不可或缺的基础设施。