如何声明后端HTTPS使用哪个服务证书？

Question

我发现了这个在后端服务上设置服务以执行SSL终止的示例，而不是在入口控制器上，但我不知道在哪里指定要使用哪个证书。我想使用我的Google cloud证书存储中已有的证书。我该把它设置在哪里？如果没有证书，这个示例是如何工作的？

https://github.com/kubernetes/ingress-gce/blob/master/examples/backside-https/app.yaml

有关前端与后端HTTPS的更多信息：https://github.com/kubernetes/ingress-gce/blob/master/README.md#frontend-https

Answer 1

如果后端服务使用由公共CA签名的证书，则不需要执行任何操作。GKE入口就像您的后端的任何其他客户端一样-它知道各种证书颁发机构，并且可以验证您的后端证书是否由这些颁发机构之一签署。

但是，如果您的证书库中的证书是客户端证书，这意味着您希望GKE使用该证书向您的后端进行身份验证，则不确定这是可能的。

有一种方法可以指示nginx使用客户端证书，类似于这个答案，它使用自签名证书：

https://serverfault.com/a/717926/370529

有一种方法可以将这些片段提供给nginx入口控制器。但是GKE没有使用nginx。我不知道有什么方法可以对GKE入口控制器做同样的事情。