cert-manager と Let's Encrypt EKSを使用して Amazon のアプリケーションの end-to-end 暗号化を設定する

Route 53 にドメインのパブリックホストゾーンを作成します。

AWS マネジメントコンソールにサインインし、Amazon Route 53 コンソールを開き、ホストゾーン を選択し、ホストゾーンの作成 を選択します。パブリックホストゾーンを作成し、ゾーン ID を記録します。これについての詳細は、Amazon Route 53 ドキュメントの「公開ホストゾーンの作成」を参照してください。

注: DNS01 ACME はDNSプロバイダーを使用して、証明書を発行する cert-manager にチャレンジを投稿します。このチャレンジでは、ドメイン名のTXTレコードに特定の値を入力して、ドメイン名DNSの を制御することを証明する必要があります。Let's Encrypt がACMEクライアントにトークンを付与すると、クライアントはそのトークンとアカウントキーから派生したTXTレコードを作成し、そのレコードを に配置します_acme-challenge.<YOURDOMAIN>。次に、Let's Encrypt はそのレコードDNSの をクエリします。一致するものが見つかったら、証明書の発行に進むことができます。

cert-manager のIAMポリシーを作成します。

Route 53 ドメインを所有していることを検証するアクセス許可を cert-manager に提供するには、 IAMポリシーが必要です。policy.json サンプルIAMポリシーは、 GitHub Amazon リポジトリのクローン E nd-to-end 暗号化EKSの 1-IAMRole ディレクトリで提供されます。

で次のコマンドAWSCLIを入力して、IAMポリシーを作成します。

aws iam create-policy \
  --policy-name PolicyForCertManager \
  --policy-document file://policy.json

cert-manager のIAMロールを作成します。

IAM ポリシーを作成したら、 IAMロールを作成する必要があります。trustpolicy.json サンプルIAMロールは 1-IAMRole ディレクトリで提供されます。

で次のコマンドAWSCLIを入力して、IAMロールを作成します。

aws iam create-role \
  --role-name RoleForCertManager \
  --assume-role-policy-document file://trustpolicy.json

ロールへのポリシーの付与

で次のコマンドを入力してAWSCLI、IAMポリシーをIAMロールにアタッチします。をAWSアカウントの ID AWS_ACCOUNT_IDに置き換えます。

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/PolicyForCertManager \
  --role-name RoleForCertManager

Ingress Controller NGINX をデプロイします。

Helm を使用する nginx-ingress の最新バージョンをインストールします。デプロイする前に、要件に応じて nginx-ingress の設定を変更できます。このパターンでは、5-Nginx-Ingress-Controller ディレクトリの使用可能の注釈付き、内部向けのNetwork Load Balancer を使用します。 

5-Nginx-Ingress-Controller ディレクトリから次の Helm コマンドを実行して、Ingress Controller NGINX をインストールします。

helm install test-nginx nginx-stable/nginx-ingress  -f  5-Nginx-Ingress-Controller/values_internal_nlb.yaml

Ingress Controller NGINX がインストールされていることを確認します。

helm list コマンドを入力します。出力には、Ingress Controller NGINX がインストールされていることが示されます。

Route 53 A レコードを作成します。

A レコードは、Ingress Controller によって作成された Network Load Balancer NGINX を指します。

をデプロイしますNGINX VirtualServer。

NGINX VirtualServer リソースは、イングレスリソースの代替となる負荷分散設定です。NGINX VirtualServer リソースを作成する設定は、 6-Nginx-Virtual-Server ディレクトリの nginx_virtualserver.yaml ファイルで使用できます。で次のコマンドkubectlを入力して、 NGINX VirtualServer リソースを作成します。

kubectl apply -f  nginx_virtualserver.yaml

重要: nginx_virtualserver.yaml ファイルのアプリケーションドメイン名、証明書シークレット、アプリケーションサービス名の更新を必ず行ってください。

NGINX VirtualServer が作成されていることを確認します。

で次のコマンドkubectlを入力して、NGINX VirtualServer リソースが正常に作成されたことを確認します。

kubectl get virtualserver

注: Host 列がアプリケーションのドメイン名と一致することを確認します。

TLS を有効にしてNGINXウェブサーバーをデプロイします。

このパターンでは、 end-to-end 暗号化をテストするためのアプリケーションとして TLS が有効になっているNGINXウェブサーバーを使用します。テストアプリケーションのデプロイに必要な設定ファイルは、demo-webserver のディレクトリに使用可能です。 

アプリケーションのテストを行うには、次のコマンドをkubectl に入力します。

kubectl apply -f nginx-tls-ap.yaml

テストアプリケーションリソースが作成されたことを確認します。

次のコマンドを kubectl に入力して、テストアプリケーションに必要なリソースが作成されていることを確認します

アプリケーションを検証します。