Istio

sample-issuer.yaml ファイルを更新し、以下のパラメータに値を指定します。

以下のコマンドを実行し、ACME アカウントが作成されるのを待ちます。サンプルの発行者設定ファイルの名前を変更した場合は、最後の引数としてその新しいファイル名を指定します。

kubectl apply -f sample-issuer.yaml

以下のコマンドを実行し、ACME アカウントが DigiCert ACME サーバーに登録されていることを確認します。

kubectl describe issuer <issuer_name> -n <namespace>

sample-issuer.yaml ファイルで設定した発行者名と Istio の名前空間名（istio-system）を指定します。例:

kubectl describe issuer digicert-acme-issuer -n istio-system 

DigiCert® Private CA からダウンロードしたルート CA 証明書を使用して、Kubernetes シークレットを作成します。これで、発行された証明書に対する信頼がサービスメッシュ内で確立されます。

たとえば、デジサートからダウンロードしたルート CA 証明書が ca.pem という名前だった場合は、次のようになります。

kubectl create secret generic -n cert-manager istio-root-ca --from-file=ca.pem=ca.pem

詳細は、istio-csr のインストールガイドでステップ 4 を参照してください。

まだ存在しない場合は、Helm に Jetstack リポジトリを追加して cert-manager チャートを取得します。

helm repo add jetstack https://charts.jetstack.io

Jetstack を追加してから、Helm チャートリポジトリキャッシュを更新します。

 helm repo update

以下のパラメータで、Helm を介して istio-csr をインストールします。ACM_issuer_name パラメータには、cert-manager における ACME ベースの発行者の名前を指定します。app.tls.rootCAFile 変数には、上記の最初のステップで作成した Kubernetes シークレットからルート CA 証明書への完全なパスを指定します。

helm install -n cert-manager cert-manager-istio-csr jetstack/cert-manager-istio-csr \
	--set "app.certmanager.issuer.name=<ACME_issuer_name>" \
	--set "app.tls.rootCAFile=/var/run/secrets/istio-csr/ca.pem" \
	--set "volumeMounts[0].name=root-ca" \
	--set "volumeMounts[0].mountPath=/var/run/secrets/istio-csr" \
	--set "volumes[0].name=root-ca" \
	--set "volumes[0].secret.secretName=istio-root-ca"

詳細は、istio-csr のインストールガイドでステップ 5 を参照してください。

Istio をインストールします。たとえば、istioctl ユーティリティを使用して Istio をインストールする場合は、次のようになります。

詳細は、『Istio スタートガイド』、または istio-csr インストールガイドのステップ 6 を参照してください。