手把手教你用阿里云ACK Ingress配置HTTPS，轻松搞定网站加密访问

你有没有遇到过这种情况：辛辛苦苦搭了个网站，结果浏览器一打开就弹出“不安全连接”的警告？别急，这多半是因为你的网站还没开启HTTPS。现在都2024年了，用户对隐私和安全越来越重视，一个没有HTTPS的网站，别说信任度了，连基本的用户体验都谈不上。

如果你正在使用阿里云的容器服务Kubernetes版（也就是大家常说的ACK），那今天这篇文章就是为你量身定制的！咱们不讲那些晦涩难懂的技术术语，也不搞一堆命令行轰炸，就用最接地气的方式，一步步带你把HTTPS给它安排上。重点是——用Ingress来实现，简单、高效、还特别适合生产环境。

为啥非得用HTTPS？不是说说而已

可能有人会觉得：“我这个网站就自己看看，又不涉及登录付款，用不用HTTPS有啥区别？”其实真不是你想的那么简单。

现在的主流浏览器比如Chrome、Edge，一旦发现你网站是HTTP开头，就会在地址栏旁边打个“不安全”的标签，用户看到这个心里立马打鼓：“这网站靠不靠谱啊？”哪怕你内容再优质，人家也可能直接关掉走人。

搜索引擎也偏爱HTTPS网站。Google早就公开表示，HTTPS是SEO排名的一个加分项。换句话说，用了HTTPS，你的网站更容易被搜到，流量自然就上来了。

从技术角度看，HTTPS能防止数据被中间人窃听或篡改。哪怕你现在只是展示静态页面，未来万一要加个表单、用户注册功能，没HTTPS那就是裸奔。

ACK + Ingress：现代云原生应用的最佳拍档

阿里云ACK（Alibaba Cloud Kubernetes）是个非常成熟的容器编排平台，特别适合部署微服务架构的应用。而Ingress呢，可以理解为“集群的统一入口”，它就像小区的大门保安，负责把外部请求精准地引导到内部不同的服务上去。

举个例子，你有两个服务：一个叫blog，一个叫shop。通过Ingress，你可以设置 blog.yourdomain.com 走向blog服务，shop.yourdomain.com 走向shop服务。更关键的是，Ingress还能统一处理SSL证书，实现HTTPS卸载，也就是说，所有的加密解密工作都由Ingress控制器来做，后端服务完全无感，轻松省事。

准备工作：域名、证书、Ingress Controller一个都不能少

在正式开搞之前，咱们得先把“弹药”备齐：

• 域名：你得有一个自己的域名，比如 example.com，可以在阿里云万网购买。
• SSL证书：这是HTTPS的核心。你可以选择免费的（比如Let’s Encrypt），也可以在阿里云申请免费的DV证书，简单方便，推荐新手用这个。
• ACK集群已部署好应用：确保你的服务已经在Kubernetes里跑起来了，并且可以通过ClusterIP或NodePort方式访问。
• Ingress Controller已安装：大多数ACK集群默认会安装NGINX Ingress Controller，如果没有，可以在容器服务控制台一键添加。

这些准备好了，咱们就可以进入正题了。

第一步：在阿里云申请免费SSL证书

打开阿里云控制台，搜索“SSL证书”，进入管理页面。点击“购买证书”，选择“免费型DV SSL”，然后填写你的域名。验证方式选DNS验证最方便，系统会提示你添加一条TXT记录到域名解析中。

等几分钟，验证通过后，证书状态变成“已签发”。这时候点击“绑定”，选择“不绑定”，因为我们是手动配置到Ingress里的。下载证书文件，一般会得到两个文件：一个以 .pem 结尾（公钥），一个以 .key 结尾（私钥）。

接下来，我们要把这两个文件上传到Kubernetes集群里，变成一个Secret，这样Ingress才能安全地使用它们。

第二步：创建TLS Secret，让证书进K8s

打开终端，连接到你的ACK集群（可以用kubectl工具）。执行下面这行命令：

kubectl create secret tls your-domain-tls --cert=your_domain.pem --key=your_domain.key -n your-namespace

把里面的文件名和命名空间换成你自己的。这条命令的作用是：把证书和私钥打包成一个叫 your-domain-tls 的Secret，存在指定的命名空间里。

你可以用 kubectl get secret -n your-namespace 看看是不是创建成功了。如果看到 your-domain-tls 在列表里，那就OK了。

第三步：编写Ingress配置，开启HTTPS之旅

现在最关键的一步来了——写Ingress的YAML文件。别怕，我给你贴个模板，照着改就行。

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: secure-ingress
  namespace: your-namespace
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/ssl-redirect: "true"
spec:
  tls:
    - hosts:
        - yourdomain.com
        - www.yourdomain.com
      secretName: your-domain-tls
  rules:
    - host: yourdomain.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: your-service-name
                port:
                  number: 80
    - host: www.yourdomain.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: your-service-name
                port:
                  number: 80

这里面几个关键点解释一下：

• tls 部分指定了哪些域名要用HTTPS，以及用哪个Secret里的证书。
• secretName 就是你刚才创建的那个TLS Secret名字。
• rules 定义了路由规则，把域名指向你的后端Service。
• 注解 ssl-redirect: "true" 很重要，它会让HTTP请求自动跳转到HTTPS，避免用户还在用http访问。

保存这个文件为 ingress-https.yaml，然后执行：

kubectl apply -f ingress-https.yaml

等几秒钟，Ingress控制器就会生效。你可以用 kubectl get ingress -n your-namespace 查看状态，看到EXTERNAL-IP或者绑定了SLB的地址，说明已经就绪。

第四步：绑定域名，坐等访问

最后一步，回到阿里云域名解析控制台，把你买的域名（比如 yourdomain.com 和 www.yourdomain.com）的A记录，指向Ingress暴露出来的公网IP或SLB地址。

等DNS生效（通常几分钟到几小时），你就可以打开浏览器，输入 https://yourdomain.com 试试看了。如果小绿锁出现了，恭喜你，HTTPS配置成功！

这时候不管用户输http还是https，都会自动跳到加密链接，体验满分。

常见问题排查小贴士

过程中可能会遇到一些小坑，我帮你提前踩过了：

• 证书不生效？ 检查Secret是不是创建在正确的命名空间，Ingress能不能找到它。
• 页面打不开？ 看看Service名字、端口写对了没，Pod是不是正常运行。
• DNS一直不生效？ 试试本地清一下DNS缓存，或者换个网络环境测试。
• HTTP不跳HTTPS？ 确保注解 ssl-redirect: "true" 写上了。

还有个小建议：可以先用一个测试子域名（比如 test.yourdomain.com）练手，成功后再迁移到主站，避免影响线上业务。

别忘了领券，省下的都是赚到的！

折腾完这一套，是不是觉得云服务虽然强大，但成本也不低？告诉你个好消息——阿里云经常有优惠活动，尤其是新用户或者老用户复购，都能薅到不少羊毛。

我这边正好有个专属链接，点进去就能领取阿里云优惠券，买ECS、容器服务、域名、SSL证书都能用，折上折，省下的钱够你多吃好几顿火锅了！赶紧去领，错过可就没这个价了。

HTTPS不是高岭之花，而是标配

你应该已经掌握了如何在阿里云ACK中，利用Ingress快速配置HTTPS的完整流程。从申请证书、创建Secret，到编写Ingress规则、绑定域名，每一步都不复杂，关键是思路要清晰。

现在越来越多的应用跑在Kubernetes上，而Ingress作为流量入口的“守门人”，掌握它的用法绝对是加分项。别再让你的网站裸奔了，赶紧行动起来，给它披上HTTPS的铠甲。

而且你会发现，一旦配置完成，后续维护特别省心。证书快到期了？可以配合Cert Manager自动续签。想加新域名？改个YAML重新apply就行。这才是现代运维该有的样子——自动化、可维护、高可用。

好了，文章就到这里。希望你不仅能看懂，更能动手做出来。实践才是检验真理的唯一标准。如果过程中遇到问题，欢迎留言交流，我们一起解决。