Alauda Service Mesh v2 Docs
  • 简体中文

    • 多集群配置概述

    要配置多集群拓扑，必须执行以下操作：

    • 为每个集群安装 Alauda Container Platform Multi-Network（以前称为 Alauda Container Platform Networking for Multus）插件，并且 kube-ovn 必须为 v4.1.5 或更高版本。
    • 为每个集群安装 Alauda Service Mesh Operator。
    • 每个集群中的 API Server 必须能够被网格中的其他集群访问。
    • 为每个集群创建根证书和中间证书，或确保可以访问这些证书。
    • 为每个集群应用安全证书。
    • 为每个集群安装 Istio。

    目录

    创建多集群网格证书将证书应用于多网络多集群网格后续步骤

    创建多集群网格证书

    为两个集群创建根证书颁发机构 (CA) 证书和中间证书颁发机构 (CA) 证书。

    前提条件

    • 本地已安装 OpenSSL。

    操作步骤

    创建根 CA 证书

    1. 运行以下命令，为根证书创建密钥：

      openssl genrsa -out root-key.pem 4096

    2. 创建名为 root-ca.conf 的 OpenSSL 配置证书文件，用于根 CA 证书：

      根证书配置文件示例
      encrypt_key = no
prompt = no
utf8 = yes
default_md = sha256
default_bits = 4096
req_extensions = req_ext
x509_extensions = req_ext
distinguished_name = req_dn
[ req_ext ]
subjectKeyIdentifier = hash
basicConstraints = critical, CA:true
keyUsage = critical, digitalSignature, nonRepudiation, keyEncipherment, keyCertSign
[ req_dn ]
O = Istio
CN = Root CA

    3. 运行以下命令，创建证书签名请求：

      openssl req -sha256 -new -key root-key.pem \
    -config root-ca.conf \
    -out root-cert.csr

    4. 运行以下命令，创建共享根证书：

      openssl x509 -req -sha256 -days 7300 \
    -signkey root-key.pem \
    -extensions req_ext -extfile root-ca.conf \
    -in root-cert.csr \
    -out root-cert.pem

    为 East 集群创建中间 CA 证书

    1. 运行以下命令，创建名为 east 的目录：

      mkdir east

    2. 运行以下命令，为 East 集群的中间证书创建密钥：

      openssl genrsa -out east/ca-key.pem 4096

    3. 在 east/ 目录中创建名为 intermediate.conf 的 OpenSSL 配置文件，用于 East 集群的中间证书。复制以下示例文件并将其保存在本地：

      配置文件示例
      [ req ]
encrypt_key = no
prompt = no
utf8 = yes
default_md = sha256
default_bits = 4096
req_extensions = req_ext
x509_extensions = req_ext
distinguished_name = req_dn
[ req_ext ]
subjectKeyIdentifier = hash
basicConstraints = critical, CA:true, pathlen:0
keyUsage = critical, digitalSignature, nonRepudiation, keyEncipherment, keyCertSign
subjectAltName=@san
[ san ]
DNS.1 = istiod.istio-system.svc
[ req_dn ]
O = Istio
CN = Intermediate CA
L = east

    4. 运行以下命令，创建证书签名请求：

      openssl req -new -config east/intermediate.conf \
  -key east/ca-key.pem \
  -out east/cluster-ca.csr

    5. 运行以下命令，为 East 集群创建中间 CA 证书：

      openssl x509 -req -sha256 -days 3650 \
  -CA root-cert.pem \
  -CAkey root-key.pem -CAcreateserial \
  -extensions req_ext -extfile east/intermediate.conf \
  -in east/cluster-ca.csr \
  -out east/ca-cert.pem

    6. 运行以下命令，从 east 集群的中间 CA 证书和根 CA 证书创建证书链：

      cat east/ca-cert.pem root-cert.pem > east/cert-chain.pem && cp root-cert.pem east

    为 West 集群创建中间 CA 证书

    1. 运行以下命令，创建名为 west 的目录：

      mkdir west

    2. 运行以下命令，为 West 集群的中间证书创建密钥：

      openssl genrsa -out west/ca-key.pem 4096

    3. 在 west/ 目录中创建名为 intermediate.conf 的 OpenSSL 配置文件，用于 West 集群的中间证书。复制以下示例文件并将其保存在本地：

      配置文件示例
      [ req ]
encrypt_key = no
prompt = no
utf8 = yes
default_md = sha256
default_bits = 4096
req_extensions = req_ext
x509_extensions = req_ext
distinguished_name = req_dn
[ req_ext ]
subjectKeyIdentifier = hash
basicConstraints = critical, CA:true, pathlen:0
keyUsage = critical, digitalSignature, nonRepudiation, keyEncipherment, keyCertSign
subjectAltName=@san
[ san ]
DNS.1 = istiod.istio-system.svc
[ req_dn ]
O = Istio
CN = Intermediate CA
L = west

    4. 运行以下命令，创建证书签名请求：

      openssl req -new -config west/intermediate.conf \
  -key west/ca-key.pem \
  -out west/cluster-ca.csr

    5. 运行以下命令，为 West 集群创建中间 CA 证书：

      openssl x509 -req -sha256 -days 3650 \
  -CA root-cert.pem \
  -CAkey root-key.pem -CAcreateserial \
  -extensions req_ext -extfile west/intermediate.conf \
  -in west/cluster-ca.csr \
  -out west/ca-cert.pem

    6. 运行以下命令，从 west 集群的中间 CA 证书和根 CA 证书创建证书链：

      cat west/ca-cert.pem root-cert.pem > west/cert-chain.pem && cp root-cert.pem west

    将证书应用于多网络多集群网格

    将根证书颁发机构 (CA) 证书和中间证书颁发机构 (CA) 证书应用于多网络多集群拓扑中的集群。

    NOTE

    在此操作步骤中，CLUSTER1 是 East 集群，CLUSTER2 是 West 集群。

    前提条件

    • 你可以访问两个支持外部负载均衡器的集群。
    • 你已为每个集群创建根 CA 证书和中间 CA 证书，或者其他人已为你准备好这些证书。

    操作步骤

    环境变量

    为简化说明，以下环境变量将在整个操作步骤中使用：

    变量别名说明
    CTX_CLUSTER1East默认 Kubernetes 配置文件中用于访问 cluster1 集群的上下文名称。
    CTX_CLUSTER2West默认 Kubernetes 配置文件中用于访问 cluster2 集群的上下文名称。

    继续操作前，设置这两个变量：

    export CTX_CLUSTER1=<your cluster1 context>
export CTX_CLUSTER2=<your cluster2 context>

    将证书应用于多集群拓扑中的 East 集群

    1. 运行以下命令，创建名为 istio-system 的命名空间：

      kubectl --context "${CTX_CLUSTER1}" create namespace istio-system

    2. 运行以下命令，在 East 集群上为 Istio 创建 CA 证书、证书链和私钥：

      kubectl get secret -n istio-system --context "${CTX_CLUSTER1}" cacerts || kubectl create secret generic cacerts -n istio-system --context "${CTX_CLUSTER1}" \
  --from-file=east/ca-cert.pem \
  --from-file=east/ca-key.pem \
  --from-file=east/root-cert.pem \
  --from-file=east/cert-chain.pem
      NOTE

      如果你按照创建多集群网格的证书中的说明操作，证书将位于 east/ 目录中。 如果证书位于其他目录，请相应地修改命令语法。

    将证书应用于多集群拓扑中的 West 集群

    1. 运行以下命令，创建名为 istio-system 的命名空间：

      kubectl --context "${CTX_CLUSTER2}" create namespace istio-system

    2. 运行以下命令，在 West 集群上为 Istio 创建 CA 证书、证书链和私钥：

      kubectl get secret -n istio-system --context "${CTX_CLUSTER2}" cacerts || kubectl create secret generic cacerts -n istio-system --context "${CTX_CLUSTER2}" \
  --from-file=west/ca-cert.pem \
  --from-file=west/ca-key.pem \
  --from-file=west/root-cert.pem \
  --from-file=west/cert-chain.pem
      NOTE

      如果你按照创建多集群网格的证书中的说明操作，证书将位于 west/ 目录中。 如果证书位于其他目录，请相应地修改命令语法。

    后续步骤

    在构成网格拓扑的所有集群上安装 Istio。