` pelo seu nome de domínio existente. | DevOps engenheiro |
| Gerar a chave e o certificado de cliente e assinar com o certificado CA. | Gere a chave e o certificado do cliente e assine com o certificado CA, executando os seguintes comandos.openssl req -new -newkey rsa:4096 -keyout client.key -out client.csr -nodes -subj '/CN=Test' && openssl x509 -req -sha256 -days 365 -in client.csr -CA ca.crt -CAkey ca.key -set_serial 02 -out client.crt
| DevOps engenheiro |
### Implementar o controlador de entrada NGINX
| Tarefa | Description | Habilidades necessárias |
| --- | --- | --- |
| Implantar o controlador de entrada do NGINX no seu cluster do Amazon EKS. | Implante o controlador de entrada do NGINX com o comando a seguir.kubectl apply -f https://raw.githubusercontent.com/kubernetes/ingress-nginx/controller-v1.7.0/deploy/static/provider/aws/deploy.yaml
| DevOps engenheiro |
| Verificar se o serviço do controlador de entrada do NGINX está em execução. | Verifique se o serviço do controlador de entrada do NGINX está em execução.kubectl get svc -n ingress-nginx
Certifique-se de que o campo do endereço de serviço contenha o nome de domínio do Network Load Balancer. | DevOps engenheiro |
### Criar um namespace no cluster do Amazon EKS para testar o TLS mútuo
| Tarefa | Description | Habilidades necessárias |
| --- | --- | --- |
| Criar um namespace no cluster do Amazon EKS. | Crie um namespace chamado `mtls` no seu cluster do Amazon EKS, executando o comando a seguir. kubectl create ns mtls
Isso implanta o aplicativo de exemplo para testar o TLS mútuo. | DevOps engenheiro |
### Criar a implantação e o serviço para o aplicativo de exemplo
| Tarefa | Description | Habilidades necessárias |
| --- | --- | --- |
| Criar a implantação e o serviço do Kubernetes no namespace mtls. | Crie um arquivo chamado `mtls.yaml`. Cole o seguinte código no arquivo. kind: Deployment
apiVersion: apps/v1
metadata:
name: mtls-app
labels:
app: mtls
spec:
replicas: 1
selector:
matchLabels:
app: mtls
template:
metadata:
labels:
app: mtls
spec:
containers:
- name: mtls-app
image: hashicorp/http-echo
args:
- "-text=mTLS is working"
---
kind: Service
apiVersion: v1
metadata:
name: mtls-service
spec:
selector:
app: mtls
ports:
- port: 5678 # Default port for image
Crie a implantação e o serviço do Kubernetes no `mtls` namespace, executando o comando a seguir.kubectl create -f mtls.yaml -n mtls
| DevOps engenheiro |
| Verificar se a implantação do Kubernetes foi criada. | Execute o comando a seguir para verificar se a implantação foi criada e se tem um pod no status disponível.kubectl get deploy -n mtls
| DevOps engenheiro |
| Verificar se o serviço Kubernetes foi criado. | Verifique se o serviço do Kubernetes foi criado, executando o comando a seguir.kubectl get service -n mtls
| DevOps engenheiro |
### Criar um segredo no namespace mtls
| Tarefa | Description | Habilidades necessárias |
| --- | --- | --- |
| Criar um segredo para o recurso de entrada. | Execute o comando a seguir para criar um segredo para o controlador de entrada NGINX usando os certificados que você criou anteriormente.kubectl create secret generic mtls-certs --from-file=tls.crt=server.crt --from-file=tls.key=server.key --from-file=ca.crt=ca.crt -n mtls
Seu segredo tem um certificado de servidor para o cliente identificar o servidor e um certificado CA para o servidor verificar os certificados do cliente. | DevOps engenheiro |
### Criar o recurso de entrada no namespace mtls
| Tarefa | Description | Habilidades necessárias |
| --- | --- | --- |
| Criar o recurso de ingresso no namespace mtls. | Crie um arquivo chamado `ingress.yaml`. Cole o código a seguir no arquivo (substitua `` pelo nome de domínio existente).apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
annotations:
nginx.ingress.kubernetes.io/auth-tls-verify-client: "on"
nginx.ingress.kubernetes.io/auth-tls-secret: mtls/mtls-certs
name: mtls-ingress
spec:
ingressClassName: nginx
rules:
- host: "*."
http:
paths:
- path: /
pathType: Prefix
backend:
service:
name: mtls-service
port:
number: 5678
tls:
- hosts:
- "*."
secretName: mtls-certs
Crie o recurso de entrada no namespace `mtls` executando o comando a seguir.kubectl create -f ingress.yaml -n mtls
Isso significa que o controlador de ingresso NGINX pode rotear o tráfego para seu aplicativo de exemplo. | DevOps engenheiro |
| Verificar se o recurso de ingresso foi criado. | Verifique se o recurso de ingresso foi criado, executando o comando a seguir.kubectl get ing -n mtls
Certifique-se de que o endereço do recurso de entrada exiba o balanceador de carga criado para o controlador de entrada NGINX. | DevOps engenheiro |
### Configurar o DNS para apontar o nome do host para o balanceador de carga
| Tarefa | Description | Habilidades necessárias |
| --- | --- | --- |
| Criar um registro CNAME que aponte para o balanceador de carga do controlador de entrada NGINX. | Faça login no Console de Gerenciamento da AWS, abra o console do Amazon Route 53 e crie um registro de nome canônico (CNAME) que aponta `mtls.` para o balanceador de carga do controlador de entrada NGINX.
Para obter informações, consulte [Criar registros usando o console do Route 53](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/resource-record-sets-creating.html) no Guia do desenvolvedor do Amazon Route 53. | DevOps engenheiro |
### Teste a aplicação
| Tarefa | Description | Habilidades necessárias |
| --- | --- | --- |
| Testar a configuração de TLS mútuo sem certificados. | Execute o comando a seguir.curl -k https://mtls.
Você deve receber a resposta de erro “400 Nenhum certificado SSL obrigatório foi enviado”. | DevOps engenheiro |
| Testar a configuração de TS mútuo com certificados. | Execute o comando a seguir.curl -k https://mtls. --cert client.crt --key client.key
Você deve receber a resposta “O mTLS está processando”. | DevOps engenheiro |
## Recursos relacionados
+ [Criar registros usando o console do Amazon Route 53](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/resource-record-sets-creating.html)
+ [Usar um Network Load Balancer com o controlador de entrada NGINX no Amazon EKS](https://aws.amazon.com/blogs/opensource/network-load-balancer-nginx-ingress-controller-eks/)
+ [Autenticação de certificado de cliente](https://kubernetes.github.io/ingress-nginx/examples/auth/client-certs/)