使用 Let's Encrypt 轻松加固 Traefik Ingress Controller
Traefik 是一个现代 HTTP 反向代理和负载均衡服务器，支持众多后端（Docker、Swarm、Kubernetes、Marathon 等等）下的动态配置。
Ingress 是 Kubernetes 对外暴露服务的一种方式，可以通过域名、路径等方式，将外部请求转发给集群的内部服务。
Let's Encrypt 是一个于数字证书认证机构，通过自动化方式免费提供 SSL/TLS 证书。
好了凑够一百字了应该，现在开始说正经事。
上面三个东西合起来的话，这篇文章的目的就很清楚了，找个免费的法子把 Kubernetes 的服务升级成高大上的 https。
准备工作
Ingress 首先需要一个域名来工作。
使用
htdigest -c user.dat traefik guest命令，创建一个名为 guest 的用户，并存储在 user.dat 中，用于后面的密码验证。为 Traefik 准备一个 PVC，用于存储 ACME 生成的认证文件，这里我们命名为 traefik。
- 加载这一 PVC，并在其中生成空文件
acme.json。 chmod 600 acme.json。
- 加载这一 PVC，并在其中生成空文件
部署 Traefik
RBAC
在启用了 RBAC 的集群上，需要首先为 Traefik 创建相关的角色绑定：
https://github.com/containous/traefik/tree/master/examples/k8s/traefik-rbac.yaml
Configmap
创建配置文件：
# 开放两个 Ingress 端口
defaultEntryPoints = ["http", "https"]
logLevel = "INFO"
# 启用 Kubernetes 支持
[kubernetes]
# 启用 Web Dashboard
[web]
address = ":8080"
[entryPoints]
[entryPoints.http]
address = ":80"
# http 访问自动转向到 https
[entryPoints.http.redirect]
entryPoint = "https"
[entryPoints.https]
address = ":443"
[entryPoints.https.auth.digest]
# 这一内容来自前面生成的 user.dat，所有服务都启用这一验证
users = ["supervisor:traefik:a47ec349f54a92ba4b00a740950384f7"]
[entryPoints.https.tls]
# Let's Encrypt 配置
[acme]
email = "acme@fleeto.us"
# 刚才我们 PVC 中的文件
storage = "/var/data/acme.json"
entryPoint = "https"
# 生成这些域名的证书
[[acme.domains]]
main = "fake-domain.com"
sans = ["traefik.fake-domain.com", "kibana.fake-domain.com", "prometheus.fake-domain.com", "grafana.fake-domain.com", "traefik.fake-domain.com", "other.fake-domain.com"]
使用配置文件创建一个 ConfigMap
kubectl create cm traefik --from-file config.toml --dry-run -o yaml > config.map.yaml
kubectl apply -f config.map.yaml
Workload
官方网站提供了 Deployment 和 DaemonSet 两种形式的部署方案，这里我们使用 Deployment，因为涉及到 ACME 的存储，以及一些认证配置，所以这里我们需要对其进行一些修改：
源文件：https://github.com/containous/traefik/tree/master/examples/k8s/traefik-deployment.yaml
# 参数修改为
args:
- -c
- /etc/traefik/config.toml
# 加载 PVC 和配置文件
volumeMounts:
- name: config
mountPath: /etc/traefik
- name: data
mountPath: /var/data
volumes:
- name: config
configMap:
name: traefik
- name: data
persistentVolumeClaim:
claimName: traefik
Service
前面提到 Traefik 自带一个 Dashboard，我们不希望他随意暴露，因此这里拆分为两个服务：
# Ingress
kind: Service
apiVersion: v1
metadata:
name: traefik-ingress-service
namespace: kube-system
spec:
selector:
k8s-app: traefik-ingress-lb
ports:
- protocol: TCP
port: 80
name: http
- protocol: TCP
port: 443
name: https
type: LoadBalancer
---
# Dashboard
kind: Service
apiVersion: v1
metadata:
name: traefik-admin-service
namespace: kube-system
spec:
selector:
k8s-app: traefik-ingress-lb
ports:
- protocol: TCP
port: 8080
type: ClusterIP
使用 Kubectl 运行之后，等待 Pod 启动。
创建 Ingress Resource
我们为traefik-admin-service启用域名为traefik.fake-domain.com的 Ingress：
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
name: traefik
spec:
tls:
- hosts:
- traefik.fake-domain.com
rules:
- host: traefik.fake-domain.com
http:
paths:
- path: /
backend:
serviceName: traefik-admin-service
servicePort: 8080
Ingress 资源创建之后，我们可以使用http://traefik.fake-domain.com访问这一服务，会看到根据我们的定义：
- 发生了重定向，并成功转向 https 端口；
- https 证书是 Let's Encrypt 发放的权威证书；
- 弹出了认证窗口，输入之前我们定义的用户名密码，就能够看到 Traefik 的 Dashboard 页面了。
实际上还可以使用 ETCD 等 KV 数据库来作为 Traefik 的存储后端，就省掉了一个卷的麻烦了。