` por su nombre de dominio actual. | DevOps ingeniero |
| Genere la clave y el certificado del cliente y firme con el certificado de CA. | Genere la clave y el certificado del cliente, y firme la entidad de certificación (CA) mediante el siguiente comando.openssl req -new -newkey rsa:4096 -keyout client.key -out client.csr -nodes -subj '/CN=Test' && openssl x509 -req -sha256 -days 365 -in client.csr -CA ca.crt -CAkey ca.key -set_serial 02 -out client.crt
| DevOps ingeniero |
### Implemente el controlador de entrada NGINX
| Tarea | Descripción | Habilidades requeridas |
| --- | --- | --- |
| Implemente el controlador de entrada de NGINX en el clúster de Amazon EKS. | Implemente el controlador de entrada de NGINX con el comando siguiente.kubectl apply -f https://raw.githubusercontent.com/kubernetes/ingress-nginx/controller-v1.7.0/deploy/static/provider/aws/deploy.yaml
| DevOps ingeniero |
| Compruebe que el servicio de controlador de entrada de NGINX está en ejecución. | Compruebe que el servicio de controlador de entrada de NGINX está en ejecución utilizando el siguiente comando.kubectl get svc -n ingress-nginx
Asegúrese de que el campo de dirección del servicio contenga el nombre de dominio del equilibrador de carga de red. | DevOps ingeniero |
### Cree un espacio de nombres en el clúster de Amazon EKS para probar la TLS mutua
| Tarea | Descripción | Habilidades requeridas |
| --- | --- | --- |
| Cree un espacio de nombres en el clúster de Amazon EKS. | Ejecute el siguiente comando para crear un espacio de nombres llamado `mtls` en el clúster de Amazon EKS. kubectl create ns mtls
Se implementará la aplicación de ejemplo para probar la TLS mutua. | DevOps ingeniero |
### Cree la implementación y el servicio de la aplicación de ejemplo
| Tarea | Descripción | Habilidades requeridas |
| --- | --- | --- |
| Cree la implementación y el servicio de Kubernetes en el espacio de nombres mtls. | Cree un archivo denominado `mtls.yaml`. Pegue el código siguiente en el archivo. kind: Deployment
apiVersion: apps/v1
metadata:
name: mtls-app
labels:
app: mtls
spec:
replicas: 1
selector:
matchLabels:
app: mtls
template:
metadata:
labels:
app: mtls
spec:
containers:
- name: mtls-app
image: hashicorp/http-echo
args:
- "-text=mTLS is working"
---
kind: Service
apiVersion: v1
metadata:
name: mtls-service
spec:
selector:
app: mtls
ports:
- port: 5678 # Default port for image
Crea la implementación y el servicio de Kubernetes en el espacio de nombres `mtls` ejecutando el siguiente comando.kubectl create -f mtls.yaml -n mtls
| DevOps ingeniero |
| Compruebe que se ha creado la implementación de Kubernetes. | Ejecute el siguiente comando para comprobar que la implementación se ha creado y que hay un pod en estado disponible.kubectl get deploy -n mtls
| DevOps ingeniero |
| Compruebe que el servicio Kubernetes se ha creado. | Compruebe que el servicio de Kubernetes se haya creado ejecutando el siguiente comando.kubectl get service -n mtls
| DevOps ingeniero |
### Cree un secreto en el espacio de nombres mtls
| Tarea | Descripción | Habilidades requeridas |
| --- | --- | --- |
| Cree un recurso para el recurso de entrada. | Ejecute el siguiente comando para crear un secreto en el controlador de entrada NGINX con los certificados que creó anteriormente.kubectl create secret generic mtls-certs --from-file=tls.crt=server.crt --from-file=tls.key=server.key --from-file=ca.crt=ca.crt -n mtls
Su secreto tiene un certificado de servidor para que el cliente identifique el servidor, y un certificado de CA para que el servidor verifique los certificados del cliente. | DevOps ingeniero |
### Cree el recurso de entrada en el espacio de nombres mtls
| Tarea | Descripción | Habilidades requeridas |
| --- | --- | --- |
| Cree el recurso de entrada en el espacio de nombres mtls. | Cree un archivo denominado `ingress.yaml`. Pegue el siguiente código en el archivo (sustituya `` por su nombre de dominio actual).apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
annotations:
nginx.ingress.kubernetes.io/auth-tls-verify-client: "on"
nginx.ingress.kubernetes.io/auth-tls-secret: mtls/mtls-certs
name: mtls-ingress
spec:
ingressClassName: nginx
rules:
- host: "*."
http:
paths:
- path: /
pathType: Prefix
backend:
service:
name: mtls-service
port:
number: 5678
tls:
- hosts:
- "*."
secretName: mtls-certs
Cree el recurso de entrada en el espacio de nombres `mtls` ejecutando el siguiente comando.kubectl create -f ingress.yaml -n mtls
Así, el controlador de entrada de NGINX podrá enrutar el tráfico a su aplicación de muestra. | DevOps ingeniero |
| Compruebe que se ha creado el recurso de entrada. | Compruebe que el servicio de entrada se haya creado ejecutando el siguiente comando.kubectl get ing -n mtls
Asegúrese de que la dirección del recurso de entrada muestre el equilibrador de carga creado para el controlador de entrada de NGINX. | DevOps ingeniero |
### Configure el DNS para que dirija el nombre de host al equilibrador de carga
| Tarea | Descripción | Habilidades requeridas |
| --- | --- | --- |
| Cree un registro CNAME que apunte al equilibrador de carga del controlador de entrada de NGINX. | Inicie sesión en la consola de administración de AWS, abra la consola de Amazon Route 53 y cree un registro de nombre canónico (CNAME) que apunte `mtls.` al equilibrador de carga del controlador de entrada de NGINX.
Para obtener más información, consulte [Creación de registros con la consola de Amazon Route 53](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/resource-record-sets-creating.html) en la documentación de Route 53. | DevOps ingeniero |
### Pruebe la aplicación
| Tarea | Descripción | Habilidades requeridas |
| --- | --- | --- |
| Pruebe la configuración de TLS mutua sin certificados. | Ejecute el comando siguiente.curl -k https://mtls.
Debería recibir la respuesta de error “400 No required SSL certificate was sent”. | DevOps ingeniero |
| Pruebe la configuración de TLS mutua con certificados. | Ejecute el comando siguiente.curl -k https://mtls. --cert client.crt --key client.key
Debería recibir la respuesta “mTLS is working”. | DevOps ingeniero |
## Recursos relacionados
+ [Creación de registros con la consola de Amazon Route 53](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/resource-record-sets-creating.html)
+ [Uso de un equilibrador de carga de red con el controlador de entrada de NGINX en Amazon EKS](https://aws.amazon.com/blogs/opensource/network-load-balancer-nginx-ingress-controller-eks/)
+ [Autenticación con certificado de cliente](https://kubernetes.github.io/ingress-nginx/examples/auth/client-certs/)