dyrnq/apisix

APISIX-Openresty mTLS etcd 镜像文档

镜像概述

本镜像基于APISIX-Openresty构建，专门支持与etcd集群通过mTLS（ mutual TLS）进行安全通信，遵循APISIX官方文档中关于etcd mTLS的配置规范，适用于需要加密etcd连接的API网关部署场景。

核心功能与特性

• 支持与etcd集群建立mTLS加密连接，保障数据传输安全
• 可配置etcd连接参数（地址、超时时间、TLS证书等）
• 集成Prometheus监控功能，支持指标暴露
• 兼容APISIX 2.9及以上版本，不同版本提供针对性TLS配置支持

使用场景

• 生产环境中需要通过mTLS加密保护APISIX与etcd通信的场景
• 部署在Kubernetes环境中，需使用集群内etcd证书进行安全连接的APISIX实例
• 对etcd数据传输安全性有严格要求的API网关部署

使用方法

1. 准备配置文件

创建APISIX配置文件config.yaml，示例配置如下：

yaml
apisix:
  node_listen: 9080
  enable_ipv6: false
  ssl:
    ssl_trusted_certificate: /etc/kubernetes/pki/etcd/etcd-ca.crt
etcd:
  host:
    - "https://192.168.27.11:2379"
    - "https://192.168.27.12:2379"
    - "https://192.168.27.13:2379"
  prefix: "/apisix"
  timeout: 30
  tls:
    cert: /etc/kubernetes/pki/etcd/apiserver-etcd-client.crt
    key: /etc/kubernetes/pki/etcd/apiserver-etcd-client.key
    verify: false

plugin_attr:
  prometheus:
    export_addr:
      ip: "0.0.0.0"
      port: 9091

2. 准备etcd证书

创建证书目录并复制etcd相关证书：

bash
mkdir -p /opt/apisix/etcd

# 复制etcd CA证书、客户端证书和密钥
cp /etc/kubernetes/pki/etcd/etcd-ca.crt /opt/apisix/etcd/
cp /etc/kubernetes/pki/etcd/apiserver-etcd-client.crt /opt/apisix/etcd/
cp /etc/kubernetes/pki/etcd/apiserver-etcd-client.key /opt/apisix/etcd/

# 验证证书文件
ls -l /opt/apisix/etcd

# 设置目录权限
chown -R 1001:1001 /opt/apisix/etcd

3. 运行容器

使用以下命令启动APISIX容器：

bash
docker run -d \
--name apisix \
--restart always \
-v ~/apisix_conf/config.yaml:/usr/local/apisix/conf/config.yaml  \
-v /opt/apisix/etcd:/etc/kubernetes/pki/etcd \
dyrnq/apisix:2.9

配置说明

不同APISIX版本的TLS配置差异

• APISIX 2.9及以下版本：默认配置verify: false，无需设置SNI

• APISIX 2.11.0及以上版本：需设置verify: true并配置SNI（若etcd服务端支持SNI）：

  yaml
  etcd:
    host:
      - "https://192.168.27.11:2379"
      - "https://192.168.27.12:2379"
      - "https://192.168.27.13:2379"
    prefix: "/apisix"
    timeout: 30
    tls:
      cert: /etc/kubernetes/pki/etcd/self-signed-apisix-etcd-client.crt
      key: /etc/kubernetes/pki/etcd/self-signed-apisix-etcd-client.key
      sni: "admin.apisix.dev"  # 根据实际etcd服务端SNI配置
      verify: true
  

• 特殊情况：若etcd服务端未配置SNI，即使APISIX版本≥2.11.0，仍需设置verify: false

参考链接

• https://github.com/dyrnq/docker-apisix/blob/main/Dockerfile
• APISIX mTLS官方文档