`。然後，讓我們加密查詢該記錄的 DNS。如果找到相符項目，您可以繼續發出憑證。 | AWS DevOps |
### 設定 IAM 角色以允許 cert-manager 存取公有託管區域
| 任務 | Description | 所需的技能 |
| --- | --- | --- |
| 建立 cert-manager 的 IAM 政策。 | 需要 IAM 政策才能為 cert-manager 提供許可，以驗證您擁有 Route 53 網域。`policy.json` 範例 IAM 政策會在 Amazon EKS 儲存庫上複製的 GitHub 端對端加密的 `1-IAMRole`目錄中提供。 [End-to-end ](https://github.com/aws-samples/end-to-end-encryption-on-amazon-eks#readme)
在 AWS CLI 中輸入下列命令來建立 IAM 政策。aws iam create-policy \
--policy-name PolicyForCertManager \
--policy-document file://policy.json
| AWS DevOps |
| 建立 cert-manager 的 IAM 角色。 | 建立 IAM 政策後，您必須建立 IAM 角色。`trustpolicy.json` 範例 IAM 角色在 `1-IAMRole`目錄中提供。
在 AWS CLI 中輸入下列命令來建立 IAM 角色。aws iam create-role \
--role-name RoleForCertManager \
--assume-role-policy-document file://trustpolicy.json
| AWS DevOps |
| 將政策連接到角色。 | 在 AWS CLI 中輸入下列命令，將 IAM 政策連接至 IAM 角色。`AWS_ACCOUNT_ID` 將 取代為您 AWS 帳戶的 ID。aws iam attach-role-policy \
--policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/PolicyForCertManager \
--role-name RoleForCertManager
| AWS DevOps |
### 在 Amazon EKS 中設定 NGINX 傳入控制器
| 任務 | Description | 所需的技能 |
| --- | --- | --- |
| 部署 NGINX 傳入控制器。 | `nginx-ingress` 使用 Helm 安裝最新版本的 。您可以在部署組態之前，根據您的需求修改`nginx-ingress`組態。此模式使用註釋且面向內部的 Network Load Balancer，該模式可在 `5-Nginx-Ingress-Controller`目錄中使用。
從 `5-Nginx-Ingress-Controller`目錄執行下列 Helm 命令來安裝 NGINX 傳入控制器。
`helm install test-nginx nginx-stable/nginx-ingress -f 5-Nginx-Ingress-Controller/values_internal_nlb.yaml` | AWS DevOps |
| 確認已安裝 NGINX 傳入控制器。 | 輸入 `helm list` 命令。輸出應會顯示已安裝 NGINX 傳入控制器。 | AWS DevOps |
| 建立 Route 53 A 記錄。 | A 記錄指向 NGINX 傳入控制器建立的 Network Load Balancer。[See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_tw/prescriptive-guidance/latest/patterns/set-up-end-to-end-encryption-for-applications-on-amazon-eks-using-cert-manager-and-let-s-encrypt.html) | AWS DevOps |
### 在 Amazon EKS 上設定 NGINX VirtualServer
| 任務 | Description | 所需的技能 |
| --- | --- | --- |
| 部署 NGINX VirtualServer。 | NGINX VirtualServer 資源是一種負載平衡組態，是輸入資源的替代方案。建立 NGINX VirtualServer 資源的組態可在 `6-Nginx-Virtual-Server`目錄中的 `nginx_virtualserver.yaml` 檔案中取得。在 中輸入下列命令`kubectl`以建立 NGINX VirtualServer 資源。
`kubectl apply -f nginx_virtualserver.yaml`請務必更新 `nginx_virtualserver.yaml` 檔案中的應用程式網域名稱、憑證秘密和應用程式服務名稱。 | AWS DevOps |
| 確認已建立 NGINX VirtualServer。 | 在 中輸入下列命令`kubectl`，以確認已成功建立 NGINX VirtualServer 資源。
`kubectl get virtualserver`確認資料`Host`欄符合您應用程式的網域名稱。 | AWS DevOps |
| 部署已啟用 TLS 的 NGINX Web 伺服器。 | 此模式使用已啟用 TLS 的 NGINX Web 伺服器做為應用程式，以測試end-to-end加密。部署測試應用程式所需的組態檔案可在 `demo-webserver`目錄中取得。
在 中輸入下列命令`kubectl`以部署測試應用程式。
`kubectl apply -f nginx-tls-ap.yaml` | AWS DevOps |
| 確認測試應用程式資源已建立。 | 在 中輸入下列命令`kubectl`，以確認已建立測試應用程式所需的資源：[See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_tw/prescriptive-guidance/latest/patterns/set-up-end-to-end-encryption-for-applications-on-amazon-eks-using-cert-manager-and-let-s-encrypt.html) | AWS DevOps |
| 驗證應用程式。 | [See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_tw/prescriptive-guidance/latest/patterns/set-up-end-to-end-encryption-for-applications-on-amazon-eks-using-cert-manager-and-let-s-encrypt.html) | AWS DevOps |
## 相關資源
**AWS 資源**
+ [使用 Amazon Route 53 主控台建立記錄](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/resource-record-sets-creating.html) (Amazon Route 53 文件）
+ [在 Amazon EKS 上使用 Network Load Balancer 搭配 NGINX 輸入控制器 ](https://aws.amazon.com/blogs/opensource/network-load-balancer-nginx-ingress-controller-eks/)(AWS 部落格文章）
**其他資源**
+ [Route 53](https://cert-manager.io/docs/configuration/acme/dns01/route53/) (cert-manager 文件）
+ [設定 DNS01 挑戰提供者](https://cert-manager.io/docs/configuration/acme/dns01/) （憑證管理員文件）
+ [讓我們加密 DNS 挑戰](https://letsencrypt.org/docs/challenge-types/#dns-01-challenge) （讓我們的加密文件）