通过 Apache 的 Spinnaker HTTPS 配置

Question

我的 Spinnaker 在 Kubernetes 中运行，服务类型为：LoadBalancer 并在下面添加了 azure 注释以获取内部子网私有 ip 地址以在内部公开服务。

  annotations:
    service.beta.kubernetes.io/azure-load-balancer-internal: "true"
    service.beta.kubernetes.io/azure-load-balancer-internal-subnet: subnetName

我有一台安装了 Apache 的 ubuntu VM。 创建自签名证书并在 apache 配置中终止，我可以使用 HTTPS 访问 apache 主页。

然后我为 Spinnaker 服务 IP 地址创建了代理规则。 基本上我想从 Apache HTTPS --> 访问 Spinnaker 到内部 HTTP 流量到 kubernetes 服务。

这是Apache配置：

xxxx@xxxx:/etc/apache2/sites-available$ ls -ltrh
total 28K
-rw-r--r-- 1 root root 1332 Jul 16 18:14 000-default.conf
-rw-r--r-- 1 root root 6338 Jul 16 18:14 default-ssl.conf
drwxr-xr-x 2 root root 4096 Dec 12 17:24 abc
-rw-r--r-- 1 root root  680 Dec 12 13:04 abc.conf
drwxr-xr-x 2 root root 4096 Dec 12 14:29 xyz
-rw-r--r-- 1 root root 1151 Dec 12 13:08 xyz.conf

cat abc/00-redirect-to-https.conf
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^spinnaker$ / [L,R=302]


cat abc.conf
<VirtualHost *:80>
    ServerAdmin webmaster@localhost

    LogLevel warn
    ErrorLog ${APACHE_LOG_DIR}/abc_error.log
    CustomLog ${APACHE_LOG_DIR}/abc_access.log combined

    <IfModule mod_headers.c>
      RequestHeader unset X-Forwarded-For
      RequestHeader unset X-Forwarded-Host
      RequestHeader unset X-Forwarded-Server
      RequestHeader set X-Forwarded-Proto "http"
      RequestHeader set X-Forwarded-Port "80"
    </IfModule>

    # Apache will try to set application/json based on mime type
    # This behaviour casing problems with empty json responses from spring
    RemoveType json

    Include sites-available/abc/*.conf
</VirtualHost>


cat xyz/00-spinnaker.conf
ProxyPass /spinnaker balancer://spinnaker
ProxyPassReverse  /spinnaker balancer://spinnaker
ProxyRequests     Off
AllowEncodedSlashes NoDecode
<Proxy balancer://spinnaker>
    BalancerMember http://172.18.1.99:9000/spinnaker loadfactor=1 keepalive=On retry=0
    ProxySet lbmethod=bytraffic
</Proxy>


cat xyz.conf
<VirtualHost *:443>
    ServerAdmin webmaster@localhost

    ServerName FQDN

    LogLevel warn
    ErrorLog ${APACHE_LOG_DIR}/xyz_error.log
    CustomLog ${APACHE_LOG_DIR}/xyz_access.log combined

    <IfModule mod_headers.c>
      RequestHeader unset X-Forwarded-For
      RequestHeader unset X-Forwarded-Host
      RequestHeader unset X-Forwarded-Server
      RequestHeader set X-Forwarded-Proto "https"
      RequestHeader set X-Forwarded-Port "443"
    </IfModule>

    SSLEngine on
    SSLProtocol -ALL +TLSv1 +TLSv1.1 +TLSv1.2
    SSLHonorCipherOrder On
    SSLCipherSuite ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS

    SSLCertificateFile    /etc/apache2/certs/ca.cert
    SSLCertificateKeyFile /etc/apache2/certs/ca.key


    # Apache will try to set application/json based on mime type
    # This behaviour casing problems with empty json responses from spring
    RemoveType json

    Include sites-available/xyz/*.conf

</VirtualHost>

如果我在浏览器https://apacheServerDomainName/spinnaker请求这个 url，那么它会在内部重定向到 spinnaker，但是如果我想在https://apacheServerDomainName/spinnaker中访问任何其他页面，比如点击项目、应用程序等，那么它将无法工作，因为 url 将更改为https://apacheServerDomainName/applications ，这将给出404因为它假定从本地 ubuntu apache 服务器获取页面，而该请求也应该重定向和来自 spinnaker 的响应。

请告知什么样的apache rewrite rule可以帮助实现此要求或任何其他建议..

Answer 1

按着这些次序

1. 部署 nginx 入口控制器
2. 为 Spinnaker 定义 Ingress 规则，包括机密中的 TLS 证书
3. Nginx 控制器将执行 TLS 终止，允许通过 HTTPS 进行外部连接