Kubernetes - Ingress 配置 HTTPS，实现安全的 HTTPS 访问

大家好欢迎来到我的技术博客 在这里我会分享学习笔记、实战经验与技术思考力求用简单的方式讲清楚复杂的问题。 本文将围绕Kubernetes这个话题展开希望能为你带来一些启发或实用的参考。 无论你是刚入门的新手还是正在进阶的开发者希望你都能有所收获文章目录Kubernetes - Ingress 配置 HTTPS实现安全的 HTTPS 访问 ️一、HTTPS 与 TLS为什么我们必须使用它 1.1 数据泄露的代价1.2 浏览器与搜索引擎的“惩罚机制”1.3 法规合规的硬性要求1.4 TLS 的工作原理简述1.5 证书类型与信任链二、Kubernetes Ingress 基础回顾 2.1 Ingress 的核心结构2.2 Ingress Controller 是什么2.3 Ingress 与 Service 的关系三、证书管理方案选型手动 vs 自动化 3.1 推荐方案cert-manager Let’s Encrypt四、实战部署从零搭建 HTTPS Ingress 系统 ️4.1 环境准备4.2 部署 cert-manager4.3 创建 Let’s Encrypt Issuer4.4 部署 Java Web 应用Java 代码示例HelloController.javapom.xmlMaven 依赖构建 Docker 镜像4.5 部署 Java 应用到 Kubernetes4.6 创建 Ingress 并启用 HTTPS4.7 等待证书签发五、验证 HTTPS 访问从浏览器到命令行 5.1 使用 curl 测试5.2 浏览器验证5.3 强制 HTTP 跳转测试六、进阶配置增强安全性与性能 6.1 启用 HSTSHTTP Strict Transport Security6.2 启用 TLS 1.3 与强加密套件6.3 启用 Gzip 压缩6.4 防止点击劫持与 XSS6.5 限制请求速率防暴力破解七、监控与告警让证书永不过期 Kubernetes - Ingress 配置 HTTPS实现安全的 HTTPS 访问 ️在当今互联网环境中安全已成为不可妥协的底线。无论是用户登录、支付交易还是 API 调用数据的加密传输都已成为行业标配。HTTP 协议早已无法满足现代应用对隐私与完整性的要求HTTPS 凭借 TLS/SSL 加密机制成为构建可信网络服务的基石。在 Kubernetes 集群中Ingress 作为流量入口的核心组件承担着将外部请求路由至内部服务的重任。如何在 Ingress 上正确配置 HTTPS实现端到端的安全访问是每一位云原生工程师必须掌握的技能。本文将带你从零开始系统性地构建一个基于 Kubernetes Ingress 的 HTTPS 安全访问体系。我们将深入理解 TLS 证书的原理、ACME 协议的自动化流程、Ingress Controller 的工作模式并结合真实 Java 应用示例演示如何部署一个完整的、支持 HTTPS 的微服务系统。你将学会如何使用 Let’s Encrypt 自动签发证书、如何配置 Nginx Ingress 实现双向认证、如何处理证书轮换、如何调试常见错误以及如何通过监控与日志保障服务的长期稳定运行。无论你是刚接触 Kubernetes 的新手还是希望深化安全架构的资深工程师本文都将为你提供可落地、可复用的实践指南。让我们一起把安全从口号变成代码从理论变成生产环境中的坚实盾牌。一、HTTPS 与 TLS为什么我们必须使用它 在讨论如何配置之前我们先明确一个核心问题为什么 HTTPS 不是“可选项”而是“必选项”1.1 数据泄露的代价想象一下你的用户在未加密的 HTTP 网站上输入了邮箱和密码。攻击者只需在同一个 Wi-Fi 网络中监听流量就能轻松截获明文凭证。根据 IBM 2023 年《数据泄露成本报告》单次数据泄露的平均成本已高达445 万美元。而其中38% 的泄露事件起源于未加密的通信通道。 https://www.ibm.com/reports/data-breach —— IBM 数据泄露成本报告权威数据来源1.2 浏览器与搜索引擎的“惩罚机制”现代浏览器Chrome、Firefox、Safari对非 HTTPS 网站会显示“不安全”红色警告直接劝退用户。Google 更是在其搜索算法中将 HTTPS 作为排名因子非加密网站将被降权。你可能不在乎排名但你的用户会在意是否被浏览器“拉黑”。1.3 法规合规的硬性要求GDPR欧盟通用数据保护条例、CCPA加州消费者隐私法案、等保 2.0、《个人信息保护法》等国内外法规均明确要求对用户敏感信息传输进行加密。不使用 HTTPS意味着你可能面临巨额罚款甚至业务关停。1.4 TLS 的工作原理简述HTTPS 并非独立协议而是 HTTP over TLSTransport Layer Security。TLS 的核心流程如下客户端发起连接Client Hello携带支持的加密套件、随机数。服务端响应Server Hello选择加密套件发送证书含公钥。证书验证客户端使用信任的 CA证书颁发机构验证证书签名。密钥交换客户端生成预主密钥用服务端公钥加密后发送。会话密钥生成双方使用预主密钥 随机数生成对称密钥。加密通信后续所有数据使用对称密钥加密传输。✅ 重点对称加密用于数据传输高效非对称加密用于密钥交换安全。1.5 证书类型与信任链类型说明适用场景DV域名验证仅验证域名所有权个人博客、测试环境OV组织验证验证企业身份企业官网、B2B 服务EV扩展验证最严格审核地址栏显示公司名银行、电商自签名证书无第三方 CA 签名仅限内网测试在 Kubernetes 中我们主要使用DV 证书并通过Let’s Encrypt免费、自动化自动签发。 https://letsencrypt.org/ —— Let’s Encrypt 官网全球最大的免费证书颁发机构二、Kubernetes Ingress 基础回顾 Ingress 是 Kubernetes 中用于管理外部访问集群服务的 API 对象。它通常与 Ingress Controller 配合使用后者是一个实际处理 HTTP/HTTPS 请求的反向代理如 Nginx、Traefik、HAProxy。2.1 Ingress 的核心结构apiVersion:networking.k8s.io/v1kind:Ingressmetadata:name:my-app-ingressnamespace:defaultannotations:kubernetes.io/ingress.class:nginxcert-manager.io/cluster-issuer:letsencrypt-prodspec:tls:-hosts:-example.comsecretName:tls-secretrules:-host:example.comhttp:paths:-path:/pathType:Prefixbackend:service:name:my-java-appport:number:8080tls定义 HTTPS 证书绑定的域名和 Secret 名称。rules定义域名与后端服务的映射。annotations配置 Ingress Controller 的行为如使用哪个 issuer、是否启用压缩等。2.2 Ingress Controller 是什么Ingress Controller 并非 Kubernetes 内置组件而是由社区或厂商提供的独立部署应用。最流行的是NGINX Ingress Controller高性能、配置灵活适合生产环境。Traefik自动发现服务适合动态微服务架构。HAProxy高可用、负载均衡能力强。Contour基于 Envoy支持 gRPC、WebSocket。我们以NGINX Ingress Controller为例因其生态成熟、文档丰富、社区支持广泛。 https://kubernetes.github.io/ingress-nginx/ —— Nginx Ingress 官方文档2.3 Ingress 与 Service 的关系外部用户 → Ingress Controller监听 443 → Ingress 规则 → ServiceClusterIP → PodJava 应用Java 应用本身无需关心 HTTPS它只需监听 HTTP如 8080由 Ingress Controller 负责 TLS 终止TLS Termination然后以 HTTP 明文转发给后端服务。这种方式称为SSL Offloading是主流架构。⚠️ 注意若需端到端加密客户端 → Ingress → Pod 全程 HTTPS需在 Pod 内启用 HTTPS但会增加证书管理复杂度一般不推荐。三、证书管理方案选型手动 vs 自动化 在 Kubernetes 中证书管理有三种主流方式方式描述优点缺点手动上传 Secret本地生成证书kubectl create secret tls简单可控证书过期需人工轮换易遗忘cert-manager Let’s Encrypt自动申请、续期、更新证书完全自动化免费安全需配置 Issuer、DNS 验证自建 CA 签发使用私有 PKI 系统签发适用于内网、合规要求高成本高运维复杂3.1 推荐方案cert-manager Let’s Encryptcert-manager是 Kubernetes 原生的证书管理控制器它能自动监听 Ingress 资源中的注解向 Let’s Encrypt 申请证书并自动更新到 Secret 中。✅ 优势证书有效期 90 天自动续期支持 DNS-01 和 HTTP-01 验证与 Ingress 深度集成支持多 IssuerProd / Staging我们将在下一节完整部署这套体系。四、实战部署从零搭建 HTTPS Ingress 系统 ️现在我们进入实战环节。我们将完成以下步骤部署 cert-manager创建 Let’s Encrypt 生产环境 Issuer部署一个 Java Web 应用创建 Ingress 并启用 HTTPS验证并测试访问4.1 环境准备假设你已拥有一个可用的 Kubernetes 集群Minikube、EKS、GKE、Rancher 等均可并已配置kubectl连接。 建议使用公网可访问的域名如your-app.example.com并已将 A 记录解析到集群的 Ingress Controller 公网 IP。4.2 部署 cert-manager# 添加 Jetstack Helm 仓库helm repoaddjetstack https://charts.jetstack.io helm repo update# 安装 cert-managerhelminstallcert-manager jetstack/cert-manager\--namespacecert-manager\--create-namespace\--setinstallCRDstrue等待所有 Pod 运行kubectl get pods-ncert-manager输出应类似NAME READY STATUS RESTARTS AGE cert-manager-5b7b8c8d8f-7x9q2 1/1 Running 0 2m cert-manager-cainjector-7d6b9d5c5d-9z2kx 1/1 Running 0 2m cert-manager-webhook-6d9b8c8b8f-4w9lq 1/1 Running 0 2m4.3 创建 Let’s Encrypt Issuer创建prod-issuer.yamlapiVersion:cert-manager.io/v1kind:ClusterIssuermetadata:name:letsencrypt-prodspec:acme:# Lets Encrypt 生产环境 URL非测试server:https://acme-v02.api.letsencrypt.org/directoryemail:adminexample.comprivateKeySecretRef:name:letsencrypt-prod-private-keysolvers:-http01:ingress:class:nginx应用配置kubectl apply-fprod-issuer.yaml验证 Issuer 状态kubectl describe clusterissuer letsencrypt-prod若看到Status: Ready说明配置成功。 注意http01验证要求 Ingress Controller 能被公网访问。若你处于内网或防火墙后需改用dns01需配置 DNS 提供商 API。4.4 部署 Java Web 应用我们创建一个简单的 Spring Boot 应用作为后端服务。Java 代码示例HelloController.javapackagecom.example.demo;importorg.springframework.web.bind.annotation.GetMapping;importorg.springframework.web.bind.annotation.RestController;importjava.time.LocalDateTime;importjava.time.format.DateTimeFormatter;RestControllerpublicclassHelloController{GetMapping(/api/hello)publicStringhello(){StringtimestampLocalDateTime.now().format(DateTimeFormatter.ofPattern(yyyy-MM-dd HH:mm:ss));returnString.format({\message\: \Hello from Kubernetes!\, \timestamp\: \%s\, \env\: \production\},timestamp);}GetMapping(/health)publicStringhealth(){returnOK;}}pom.xmlMaven 依赖?xml version1.0 encodingUTF-8?projectxmlnshttp://maven.apache.org/POM/XML/4.0.0xmlns:xsihttp://www.w3.org/2001/XMLSchema-instancexsi:schemaLocationhttp://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsdmodelVersion4.0.0/modelVersiongroupIdcom.example/groupIdartifactIdk8s-https-demo/artifactIdversion1.0.0/versionpackagingjar/packagingnamek8s-https-demo/namedescriptionDemo Spring Boot app for Kubernetes HTTPS/descriptionparentgroupIdorg.springframework.boot/groupIdartifactIdspring-boot-starter-parent/artifactIdversion3.2.0/versionrelativePath//parentpropertiesjava.version17/java.version/propertiesdependenciesdependencygroupIdorg.springframework.boot/groupIdartifactIdspring-boot-starter-web/artifactId/dependency/dependenciesbuildpluginsplugingroupIdorg.springframework.boot/groupIdartifactIdspring-boot-maven-plugin/artifactId/plugin/plugins/build/project构建 Docker 镜像# Dockerfile FROM eclipse-temurin:17-jre-slim WORKDIR /app COPY target/k8s-https-demo-1.0.0.jar app.jar EXPOSE 8080 ENTRYPOINT [java, -jar, app.jar]构建并推送dockerbuild-tyour-registry.com/k8s-https-demo:latest.dockerpush your-registry.com/k8s-https-demo:latest 若你使用的是公共镜像仓库如 Docker Hub请替换your-registry.com为实际地址。4.5 部署 Java 应用到 Kubernetes创建java-app-deployment.yamlapiVersion:apps/v1kind:Deploymentmetadata:name:java-applabels:app:java-appspec:replicas:2selector:matchLabels:app:java-apptemplate:metadata:labels:app:java-appspec:containers:-name:java-appimage:your-registry.com/k8s-https-demo:latestports:-containerPort:8080resources:requests:memory:128Micpu:250mlimits:memory:256Micpu:500mlivenessProbe:httpGet:path:/healthport:8080initialDelaySeconds:30periodSeconds:10readinessProbe:httpGet:path:/healthport:8080initialDelaySeconds:5periodSeconds:5---apiVersion:v1kind:Servicemetadata:name:java-app-servicespec:selector:app:java-appports:-protocol:TCPport:80targetPort:8080type:ClusterIP部署kubectl apply-fjava-app-deployment.yaml验证 Pod 状态kubectl get pods-lappjava-app4.6 创建 Ingress 并启用 HTTPS创建ingress-https.yamlapiVersion:networking.k8s.io/v1kind:Ingressmetadata:name:java-app-ingressannotations:kubernetes.io/ingress.class:nginxcert-manager.io/cluster-issuer:letsencrypt-prodnginx.ingress.kubernetes.io/ssl-redirect:truenginx.ingress.kubernetes.io/backend-protocol:HTTPspec:tls:-hosts:-your-domain.com# 替换为你的域名secretName:tls-secretrules:-host:your-domain.comhttp:paths:-path:/pathType:Prefixbackend:service:name:java-app-serviceport:number:80✅ 关键注解说明cert-manager.io/cluster-issuer告诉 cert-manager 使用哪个 Issuer 签发证书nginx.ingress.kubernetes.io/ssl-redirect: true强制 HTTP 重定向到 HTTPSnginx.ingress.kubernetes.io/backend-protocol: HTTP告知 Nginx 后端是 HTTP非 HTTPS应用配置kubectl apply-fingress-https.yaml4.7 等待证书签发证书申请是异步过程。查看证书状态kubectl get certificate-A输出示例NAMESPACE NAME READY SECRET AGE default tls-secret True tls-secret 8m若READY为False查看详细信息kubectl describe certificate tls-secret常见错误DNS record not found域名未正确解析到 Ingress IPFailed to authorize防火墙阻止了 HTTP-01 验证请求Too many certificates already issuedLet’s Encrypt 有频率限制每域名 50 次/周✅ 解决方案使用letsencrypt-staging先测试成功后再切换到生产环境。创建staging-issuer.yaml用于测试apiVersion:cert-manager.io/v1kind:ClusterIssuermetadata:name:letsencrypt-stagingspec:acme:server:https://acme-staging-v02.api.letsencrypt.org/directoryemail:adminexample.comprivateKeySecretRef:name:letsencrypt-staging-private-keysolvers:-http01:ingress:class:nginx修改 Ingress 注解为cert-manager.io/cluster-issuer:letsencrypt-staging测试通过后再切回生产环境。五、验证 HTTPS 访问从浏览器到命令行 当tls-secret状态变为True证书已成功创建。我们来验证整个链路是否畅通。5.1 使用 curl 测试curl-vhttps://your-domain.com/api/hello预期输出* TLS 1.3 connected * Server certificate: * subject: CNyour-domain.com * start date: Apr 10 12:00:00 2024 GMT * expire date: Jul 9 12:00:00 2024 GMT * issuer: CUS, OLets Encrypt, CNR3 * SSL certificate verify ok. GET /api/hello HTTP/2 Host: your-domain.com ... HTTP/2 200 content-type: application/json {message: Hello from Kubernetes!, timestamp: 2024-04-10 15:30:22, env: production}✅ 成功说明HTTPS 连接建立证书有效Ingress 路由正确Java 应用返回数据5.2 浏览器验证在浏览器中访问https://your-domain.com/api/hello你会看到地址栏显示 小锁图标点击锁 → 证书信息 → 由 Let’s Encrypt R3 签发无任何“不安全”警告5.3 强制 HTTP 跳转测试访问http://your-domain.com/api/hello预期自动跳转到https://...状态码 308。curl-Ihttp://your-domain.com/api/hello输出HTTP/1.1 308 Permanent Redirect Location: https://your-domain.com/api/hello说明ssl-redirect: true生效。六、进阶配置增强安全性与性能 6.1 启用 HSTSHTTP Strict Transport SecurityHSTS 强制浏览器在未来一段时间内只使用 HTTPS 访问防止 SSL Stripping 攻击。添加注解annotations:nginx.ingress.kubernetes.io/hsts:truenginx.ingress.kubernetes.io/hsts-max-age:31536000# 1年nginx.ingress.kubernetes.io/hsts-include-subdomains:truenginx.ingress.kubernetes.io/hsts-preload:true✅ 作用浏览器访问一次 HTTPS 后未来 1 年内即使输入http://也会自动转为 HTTPS。6.2 启用 TLS 1.3 与强加密套件Nginx Ingress 默认使用较旧的加密套件。我们通过configmap强化安全创建nginx-config.yamlapiVersion:v1kind:ConfigMapmetadata:name:nginx-configurationnamespace:ingress-nginxdata:ssl-protocols:TLSv1.2 TLSv1.3ssl-ciphers:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384ssl-prefer-server-ciphers:truehsts:truehsts-max-age:31536000应用kubectl apply-fnginx-config.yaml https://ssl-config.mozilla.org/ —— Mozilla SSL 配置生成器推荐使用 Intermediate 配置6.3 启用 Gzip 压缩减少带宽提升响应速度annotations:nginx.ingress.kubernetes.io/use-gzip:true6.4 防止点击劫持与 XSSannotations:nginx.ingress.kubernetes.io/security-headers:|X-Frame-Options: DENY X-Content-Type-Options: nosniff X-XSS-Protection: 1; modeblock Referrer-Policy: strict-origin-when-cross-origin6.5 限制请求速率防暴力破解annotations:nginx.ingress.kubernetes.io/limit-rps:10nginx.ingress.kubernetes.io/limit-connections:5七、监控与告警让证书永不过期 证书过期是导致服务中断的“隐形杀手”。据统计超过 15% 的网站因证书过期而宕机。 感谢你读到这里 技术之路没有捷径但每一次阅读、思考和实践都在悄悄拉近你与目标的距离。 如果本文对你有帮助不妨 点赞、收藏、分享给更多需要的朋友 欢迎在评论区留下你的想法、疑问或建议我会一一回复我们一起交流、共同成长 关注我不错过下一篇干货我们下期再见✨