cert-managerと Let's Encrypt を使用して Amazon EKS のアプリケーションのエンドツーエンド暗号化を設定

Route 53 にドメインのパブリックホストゾーンを作成します。

AWS マネジメントコンソールにサインインし、Amazon Route 53 コンソールを開き、［ホストゾーン］を選択し、［ホストゾーンの作成］を選択します。パブリックホストゾーンを作成し、ゾーン ID を記録します。これについての詳細は、Amazon Route 53 ドキュメントの「公開ホストゾーンの作成」を参照してください。

cert-manager 用の IAM ポリシーを作成します。

ユーザーが Route 53 ドメインを所有していることを検証する権限を cert-manager に提供するには、IAM ポリシーが必要です。policy.json のサンプル IAM ポリシーが、複製されたGitHub「 Amazon EKS リポジトリのエンドツーエンドの暗号化」リポジトリの 1-IAMRole ディレクトリにあります。

次の AWS CLI コマンドを使用して、IAM ポリシーを作成します。

aws iam create-policy \
  --policy-name PolicyForCertManager \
  --policy-document file://policy.json

cert-managerの IAM ロールを作成します。

IAM ポリシーを作成したら、IAM ロールを作成する必要があります。trustpolicy.json サンプル IAM ロールが 1-IAMRole ディレクトリに提供されます。

IAM ロールを作成するには、次のコマンドをAWS CLIに入力します。

aws iam create-role \
  --role-name RoleForCertManager \
  --assume-role-policy-document file://trustpolicy.json

ロールへのポリシーの付与

AWS CLI に以下のコマンドを入力して、 IAM ロールにIAMポリシーをアタッチします。AWS_ACCOUNT_ID を自分の AWS アカウントのID に置き換えます。

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/PolicyForCertManager \
  --role-name RoleForCertManager

NGINX Ingress コントローラーをデプロイします。

Helm を使用する nginx-ingress の最新バージョンをインストールします。デプロイする前に、要件に応じて nginx-ingress の設定を変更できます。このパターンでは、5-Nginx-Ingress-Controller ディレクトリの使用可能の注釈付き、内部向けのNetwork Load Balancer を使用します。 

5-Nginx-Ingress-Controller ディレクトリから次の Helm コマンドを実行して、 NGINX Ingress コントローラーをインストールします。

helm install test-nginx nginx-stable/nginx-ingress  -f  5-Nginx-Ingress-Controller/values_internal_nlb.yaml

コントローラーがインストールされていることを確認します。

helm list コマンドを入力します。出力では NGINX Ingress コントローラーがインストールされていることが表示されるはずです。

Route 53 A レコードを作成します。

A レコードは NGINX Ingress コントローラーによって作成された Network Load Balancer を指します。

NGINX 仮想サーバーをデプロイします。

NGINX VirtualServer リソースは、イングレスリソースの代替となるロードバランシング設定です。NGINX VirtualServer リソースを作成するための設定は、6-Nginx-Virtual-Server ディレクトリの nginx_virtualserver.yaml のファイルで利用可能です。NGINX VirtualServer リソースを作成するには、kubectl に以下のコマンドを入力します。

kubectl apply -f  nginx_virtualserver.yaml

NGINX 仮想サーバーが作成されていることを確認します。

kubectl にある以下のコマンドを入力して、NGINX VirtualServer リソースが正常に作成されたことを確認します。

kubectl get virtualserver

TLS を有効にして NGINX ウェブサーバーをデプロイします。

このパターンでは、TLS が有効になっている NGINX Web サーバーを、エンドツーエンドの暗号化をテストするためのアプリケーションとして使用します。テストアプリケーションのデプロイに必要な設定ファイルは、demo-webserver のディレクトリに使用可能です。 

アプリケーションのテストを行うには、次のコマンドをkubectl に入力します。

kubectl apply -f nginx-tls-ap.yaml

テストアプリケーションリソースが作成されたことを確認します。

次のコマンドを kubectl に入力して、テストアプリケーションに必要なリソースが作成されていることを確認します

アプリケーションを検証します。