如何在AWS EKS中实现带多证书的ALB的Ingress配置？

你当前使用的 alb.ingress.kubernetes.io/certificate-arn 注解本身就支持多值配置，无需拆分现有路由规则、无需新建独立监听器，直接在原有注解值中追加第二张证书ARN即可。

具体修改方式 #

多证书值需要用英文逗号直接拼接，中间不要加空格、不要换行。

• 原有单证书配置示例：

metadata:
  annotations:
    alb.ingress.kubernetes.io/certificate-arn: arn:aws:acm:us-west-2:XXXXXXXXXXXX:certificate/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

• 修改后的双证书配置示例：

metadata:
  annotations:
    alb.ingress.kubernetes.io/certificate-arn: arn:aws:acm:us-west-2:XXXXXXXXXXXX:certificate/cert-id-1,arn:aws:acm:us-west-2:YYYYYYYYYYYY:certificate/cert-id-2

关键注意事项 #

• 避坑提示：千万别把两个证书拆成两行相同key的注解写。K8s元数据本质是键值对，重复key的值会被直接覆盖，最终只会保留最后填入的那个证书ARN，完全达不到双证书的效果
• 所有填入的证书必须和ALB位于同一AWS区域、同一账号下，否则Ingress Controller会直接报错，无法成功创建监听器
• 这种配置完全复用你现有的HTTPS监听器，所有已配置的/path/*路径路由规则不会被改动；ALB会通过SNI（服务器名称指示）机制自动匹配访问域名对应的证书，不需要为第二个域名单独配置监听器规则
• 后续如果需要增加更多证书，直接在同一个注解值里继续用逗号追加ARN即可，单监听器可挂载的证书数量以AWS ALB本身的配额上限为准
• 不要为了挂载第二张证书单独新建指向同后端、同HTTPS端口的Ingress对象，否则会触发ALB Ingress Controller的端口冲突逻辑，导致现有配置失效

内容的提问来源于stack exchange，提问作者Chris F