Configura el end-to-end cifrado de las aplicaciones en Amazon EKS mediante cert-manager y Let's Encrypt

Cree una zona alojada pública para Route 53.

Inicie sesión en la consola AWS de administración, abra la consola de Amazon Route 53, elija Zonas alojadas y, a continuación, elija Crear zona alojada. Cree una zona alojada pública y registre el ID de la zona. Para obtener más información, consulte Crear una zona alojada pública en la documentación de Amazon Route 53.

Nota: ACME DNS 01 utiliza el DNS proveedor para solicitar a cert-manager que emita el certificado. Este desafío le pide que demuestre que controla su nombre DNS de dominio poniendo un valor específico en un TXT registro bajo ese nombre de dominio. Cuando Let's Encrypt le da un token a tu cliente, este crea un TXT registro derivado de ese token y de tu clave de cuenta, y coloca ese registro en_acme-challenge.<YOURDOMAIN>. ACME Luego, Let's Encrypt consulta ese DNS registro. Si encuentra una coincidencia, puede proceder a emitir un certificado.

Cree la IAM política para cert-manager.

Se requiere una IAM política para dar permiso a cert-manager para validar que usted es propietario del dominio de Route 53. El policy.json ejemplo IAM de política se proporciona en el 1-IAMRole directorio del EKS repositorio de nd-to-end cifrado GitHub electrónico clonado en Amazon.

Introduce el siguiente comando AWS CLI para crear la IAM política.

aws iam create-policy \
  --policy-name PolicyForCertManager \
  --policy-document file://policy.json

Cree el IAM rol de administrador de certificados.

Tras crear la IAM política, debe crear un IAM rol. El IAM rol trustpolicy.json de ejemplo se proporciona en el 1-IAMRole directorio.

Introduzca el siguiente comando AWS CLI para crear el IAM rol.

aws iam create-role \
  --role-name RoleForCertManager \
  --assume-role-policy-document file://trustpolicy.json

Asocie la política de al rol.

Introduzca el siguiente comando AWS CLI para adjuntar la IAM política al IAM rol. AWS_ACCOUNT_IDSustitúyala por la ID de tu AWS cuenta.

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/PolicyForCertManager \
  --role-name RoleForCertManager

Implemente el controlador NGINX de ingreso.

Instale la versión más reciente de nginx-ingress mediante Helm. Puede modificar la configuración nginx-ingress según sus requisitos antes de implementarla. Este patrón utiliza un equilibrador de carga de red anotado e interno que está disponible en el directorio 5-Nginx-Ingress-Controller. 

Instale el controlador NGINX de entrada ejecutando el siguiente comando Helm desde el 5-Nginx-Ingress-Controller directorio.

helm install test-nginx nginx-stable/nginx-ingress  -f  5-Nginx-Ingress-Controller/values_internal_nlb.yaml

Compruebe que el controlador NGINX de entrada esté instalado.

Escriba el comando helm list. El resultado debería mostrar que el controlador NGINX de ingreso está instalado.

Cree un registro A de Route 53.

El registro A apunta al Network Load Balancer creado por NGINX Ingress Controller.

Implemente NGINX VirtualServer.

El NGINX VirtualServer recurso es una configuración de equilibrio de carga que es una alternativa al recurso de entrada. La configuración para crear el NGINX VirtualServer recurso está disponible en el nginx_virtualserver.yaml archivo del 6-Nginx-Virtual-Server directorio. Introduzca el siguiente comando kubectl para crear el NGINX VirtualServer recurso.

kubectl apply -f  nginx_virtualserver.yaml

Importante: asegúrese de actualizar el nombre de dominio de la aplicación, el secreto del certificado y el nombre del servicio de la aplicación en el archivo nginx_virtualserver.yaml.

Compruebe que NGINX VirtualServer se ha creado.

Introduzca el siguiente comando kubectl para comprobar que el NGINX VirtualServer recurso se ha creado correctamente.

kubectl get virtualserver

Nota: Compruebe que la columna Host coincida con el nombre de dominio de su aplicación.

Implemente el servidor NGINX web con la TLS opción habilitada.

Este patrón utiliza un servidor NGINX web con la aplicación TLS Enabled como aplicación para probar el end-to-end cifrado. Los archivos de configuración necesarios para implementar la aplicación de prueba están disponibles en el directorio demo-webserver. 

Para implementar la aplicación de prueba, ejecute el siguiente comando en kubectl:

kubectl apply -f nginx-tls-ap.yaml

Compruebe que se hayan creado los recursos de la aplicación de prueba.

Introduzca los siguientes comandos en kubectl para comprobar que se han creado los recursos necesarios para la aplicación de prueba:

Validación de la solicitud.