Kubernetes Ingress 自动验证中间CA签发的客户端证书及主体名称方案咨询

你提到的两个校验需求（校验客户端证书由指定中间CA签发、校验客户端证书主体名称）均可通过主流Kubernetes Ingress控制器原生配置实现，无需在应用层额外开发对应逻辑。

假设存储中间CA证书的Secret名为mtls-ca-secret，位于default命名空间：

• 首先校验Secret格式：确保中间CA的PEM格式证书存储在Secret的ca.crt键下，Secret类型可以为tls或Opaque。
• 在Ingress资源的annotations字段添加以下配置开启mTLS校验：

# 开启客户端证书校验
nginx.ingress.kubernetes.io/auth-tls-verify-client: "on"
# 指定存储中间CA证书的Secret
nginx.ingress.kubernetes.io/auth-tls-secret: "default/mtls-ca-secret"
# 配置证书链校验深度，根CA+中间CA的两级链设置为2即可
nginx.ingress.kubernetes.io/auth-tls-verify-depth: "2"

• 新增以下配置校验客户端证书主体名称为Device（此处以校验Subject的CN字段为Device为例，可根据你的实际主体规则调整正则）：

nginx.ingress.kubernetes.io/configuration-snippet: |
  if ($ssl_client_s_dn !~* "CN=Device") {
      return 403;
  }

• 如果你使用的是其他Ingress控制器（如Traefik、公有云厂商的ALB Ingress等），均有对应的原生配置项支持上述两个校验能力，无需应用层处理。
• 如需更复杂的证书字段校验逻辑（如校验自定义扩展字段、多主体名称匹配等），也可通过Ingress控制器的自定义规则/策略配置完成，无需透传证书到上游应用。

内容的提问来源于stack exchange，提问作者David L.