traefik TLS认证配置

在现在大部分场景下面我们都会使用 https 来访问我们的服务，这节课我们将使用一个自签名的证书，当然你有在一些正规机构购买的 CA 证书是最好的，这样任何人访问你的服务的时候都是受浏览器信任的证书。

一：使用下面的 openssl 命令生成 CA 证书：

openssl req -newkey rsa:2048 -nodes -keyout tls.key -x509 -days 365 -out tls.crt

[root@k8s-master traefik]# ll
总用量 16

-rw-r--r--. 1 root root 1220 9月   5 12:48 tls.crt
-rw-r--r--. 1 root root 1704 9月   5 12:48 tls.key

二：现在我们有了证书，我们可以使用 kubectl 创建一个 secret 对象来存储上面的证书：

[root@k8s-master traefik]# kubectl create secret generic traefik-cert --from-file=tls.crt --from-file=tls.key -n kube-system
secret/traefik-cert created

[root@k8s-master traefik]# kubectl get secret -n kube-system|grep traefik
traefik-cert                                     Opaque                                2      49s

三：配置 Traefik
前面我们使用的是 Traefik 的默认配置，现在我们来配置 Traefik，让其支持 https：

[root@k8s-master traefik]# cat traefik.toml 
defaultEntryPoints = ["http", "https"]

[entryPoints]
  [entryPoints.http]
  address = ":80"
    [entryPoints.http.redirect]
      entryPoint = "https"
  [entryPoints.https]
  address = ":443"
    [entryPoints.https.tls]
      [[entryPoints.https.tls.certificates]]
      CertFile = "/ssl/tls.crt"
      KeyFile = "/ssl/tls.key"

上面的配置文件中我们配置了 http 和 https 两个入口，并且配置了将 http 服务强制跳转到 https 服务，这样我们所有通过 traefik 进来的服务都是 https 的。

要访问 https 服务，当然就得配置对应的证书了，可以看到我们指定了 CertFile 和 KeyFile 两个文件，由于 traefik pod 中并没有这两个证书，所以我们要想办法将上面生成的证书挂载到 Pod 中去。

我们可以通过 secret 对象以 volume 形式挂载到 Pod 中。

我们可以将上面的 traefik.toml 配置文件通过一个 ConfigMap 对象挂载到 traefik pod 中去：

[root@k8s-master traefik]# kubectl create configmap traefik-conf --from-file=traefik.toml -n kube-system
configmap/traefik-conf created

现在就可以更改下之前的 traefik pod 的 yaml 文件了：

---
kind: Deployment
apiVersion: apps/v1
metadata:
  name: traefik-ingress-controller
  namespace: kube-system
  labels:
    k8s-app: traefik-ingress-lb
spec:
  replicas: 1
  selector:
    matchLabels:
      k8s-app: traefik-ingress-lb
  template:
    metadata:
      labels:
        k8s-app: traefik-ingress-lb
        name: traefik-ingress-lb
    spec:
      serviceAccountName: traefik-ingress-controller
      terminationGracePeriodSeconds<