如何在Kubernetes中为Presto集群Pod配置通配符域名证书

方案1：直接使用 K8s 原生 Pod DNS 域名 #

K8s 集群默认会为所有 Pod 生成固定格式的内部域名，规则为 pod-ip-段用横杠替换.命名空间.pod.cluster.local，例如IP为10.244.1.2、位于default命名空间的Pod，对应域名为 10-244-1-2.default.pod.cluster.local。
你可以直接为 *.pod.cluster.local 签发通配符证书，即可覆盖所有 Pod 的内部通信域名需求。你可以通过nslookup 10-244-1-2.default.pod.cluster.local命令验证当前集群是否已经开启该域名解析能力，绝大多数标准K8s集群默认都是开启的。

方案2：基于 Headless Service 生成稳定 Pod 域名 #

如果担心 Pod 重启后IP变化导致域名变动，你可以用固定的域名前缀配置：

1. 为 Presto 集群创建一个无头服务（Headless Service），名称可设为presto-internal
2. 在 Presto 的 Deployment/StatefulSet 配置中，为 Pod 模板增加hostname和subdomain字段，subdomain的值和无头服务的名称保持一致，hostname可设置为固定前缀+序号，也可以用Downward API注入Pod名称作为hostname
3. 配置完成后每个Pod的固定域名格式为<hostname>.presto-internal.<命名空间>.svc.cluster.local，你只需为*.presto-internal.<命名空间>.svc.cluster.local签发通配符证书即可，该域名不会随Pod重启变化，稳定性更高。

方案3：用服务网格做传输层加密（无需改动Presto证书配置） #

如果你的集群允许部署服务网格组件，可直接通过Istio等服务网格开启集群内部mTLS能力，所有Pod之间的流量会在Sidecar代理层自动完成加密解密，Presto侧无需单独配置内部通信证书，直接使用普通HTTP通信即可满足安全要求。

注意事项 #

• 证书可通过集群内的Cert-Manager组件自动签发，无需手动生成维护
• 生成通配符证书时需确保SAN字段包含你使用的通配符域名，避免Presto节点通信时出现证书校验失败问题
• 需修改Presto的节点发现逻辑，让各节点上报自己的域名而不是IP作为通信地址

内容的提问来源于stack exchange，提问作者Rubens Sôto