在GKE中结合Google托管证书使用HTTP2的相关疑问

核心结论 #

Google托管SSL证书无法直接复用给后端服务，这类证书仅绑定到外部负载均衡器（Ingress对应的GCLB），不会下发到集群内的Pod或后端服务，因此后端无法使用这套证书开启HTTPS。

替代方案（无需自行管理证书） #

1. GKE内部自动证书注入 #

利用GKE内置的证书管理能力创建集群内部证书，系统会自动签发、更新并将证书注入到Pod中：

• 创建Certificate资源，指定内部服务域名和GKE自动签发策略
• 在Deployment的Pod模板中通过Volume挂载证书文件，后端gRPC服务配置使用该证书开启HTTPS/HTTP2
• 证书的轮转、更新完全由GKE自动处理，无需手动干预

2. 启用Anthos Service Mesh（ASM）自动mTLS #

ASM会为服务网格内的所有Pod自动配置mTLS加密，证书由ASM统一管理和轮转：

• 启用ASM后，开启全局或局部mTLS策略
• Ingress到后端gRPC服务的流量会自动通过ASM的Sidecar代理加密，后端无需单独配置SSL
• 全程无需手动生成、维护证书，完全自动化

3. 使用明文HTTP2（h2c）对接后端 #

如果后端gRPC服务支持h2c（明文HTTP2），可以调整Ingress和Service配置：

• 在Service的端口配置中指定protocol: HTTP2
• Ingress仍使用Google托管证书处理外部HTTPS流量，内部通过h2c明文和后端通信
• 此方案无需后端配置SSL，适合集群内部环境信任的场景，但注意内部流量未加密

内容的提问来源于stack exchange，提问作者s_curry_s