Configura end-to-end la crittografia per le applicazioni su Amazon EKS utilizzando cert-manager e Let's Encrypt

Crea una zona ospitata pubblica in Route 53.

Accedi alla console di AWS gestione, apri la console Amazon Route 53, scegli Zone ospitate, quindi scegli Crea zona ospitata. Crea una zona ospitata pubblica e registra l'ID della zona. Per ulteriori informazioni su questo argomento, consulta Creazione di una zona ospitata pubblica nella documentazione di Amazon Route 53.

Nota: ACME DNS 01 utilizza il DNS provider per inviare una richiesta di rilascio del certificato da parte di cert-manager. Questa sfida ti chiede di dimostrare di controllare il tuo nome DNS di dominio inserendo un valore specifico in un TXT record con quel nome di dominio. Dopo che Let's Encrypt ha ACME fornito al cliente un token, quest'ultimo crea un TXT record derivato da quel token e dalla chiave dell'account, e inserisce quel record in_acme-challenge.<YOURDOMAIN>. Quindi Let's Encrypt interroga il record DNS per quel record. Se trova una corrispondenza, puoi procedere all'emissione di un certificato.

Crea la IAM politica per cert-manager.

È necessaria una IAM policy per fornire al cert-manager l'autorizzazione a convalidare la proprietà del dominio Route 53. La IAM policy policy.json di esempio viene fornita nella 1-IAMRole directory del repository di nd-to-end crittografia GitHub E clonato su Amazon EKS.

Inserisci il seguente comando AWS CLI per creare la policy. IAM

aws iam create-policy \
  --policy-name PolicyForCertManager \
  --policy-document file://policy.json

Crea il IAM ruolo per cert-manager.

Dopo aver creato la IAM politica, è necessario creare un IAM ruolo. Il IAM ruolo di trustpolicy.json esempio viene fornito nella 1-IAMRole directory.

Immettete il seguente comando AWS CLI per creare il IAM ruolo.

aws iam create-role \
  --role-name RoleForCertManager \
  --assume-role-policy-document file://trustpolicy.json

Collegare la policy al ruolo.

Immettete il seguente comando AWS CLI per allegare la IAM politica al IAM ruolo. Sostituiscilo AWS_ACCOUNT_ID con l'ID del tuo AWS account.

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/PolicyForCertManager \
  --role-name RoleForCertManager

Implementa l'NGINXIngress Controller.

Installa la versione più recente di nginx-ingress utilizzo di Helm. È possibile modificare la nginx-ingress configurazione in base alle proprie esigenze prima di distribuirla. Questo modello utilizza un Network Load Balancer annotato e rivolto internamente, disponibile nella directory. 5-Nginx-Ingress-Controller 

Installa l'NGINXIngress Controller eseguendo il seguente comando Helm dalla directory. 5-Nginx-Ingress-Controller

helm install test-nginx nginx-stable/nginx-ingress  -f  5-Nginx-Ingress-Controller/values_internal_nlb.yaml

Verificare che l'NGINXIngress Controller sia installato.

Immettere il comando helm list. L'output dovrebbe mostrare che l'NGINXIngress Controller è installato.

Crea un record Route 53 A.

Il record A punta al Network Load Balancer creato da NGINX Ingress Controller.

Implementazione. NGINX VirtualServer

La NGINX VirtualServer risorsa è una configurazione di bilanciamento del carico alternativa alla risorsa in ingresso. La configurazione per creare la NGINX VirtualServer risorsa è disponibile nel nginx_virtualserver.yaml file della directory. 6-Nginx-Virtual-Server Immettete il seguente comando kubectl per creare la NGINX VirtualServer risorsa.

kubectl apply -f  nginx_virtualserver.yaml

Importante: assicurati di aggiornare il nome di dominio dell'applicazione, il segreto del certificato e il nome del servizio dell'applicazione nel nginx_virtualserver.yaml file.

Verifica che NGINX VirtualServer sia stato creato.

Immettete il seguente comando kubectl per verificare che la NGINX VirtualServer risorsa sia stata creata correttamente.

kubectl get virtualserver

Nota: verifica che la Host colonna corrisponda al nome di dominio dell'applicazione.

Implementa il server NGINX Web con TLS abilitato.

Questo modello utilizza un server NGINX Web con TLS enabled come applicazione per testare la end-to-end crittografia. I file di configurazione necessari per distribuire l'applicazione di test sono disponibili nella demo-webserver directory. 

Immettete il seguente comando kubectl per distribuire l'applicazione di test.

kubectl apply -f nginx-tls-ap.yaml

Verificate che le risorse dell'applicazione di test siano state create.

Immettete i seguenti comandi kubectl per verificare che vengano create le risorse richieste per l'applicazione di test:

Convalida l'applicazione.