这是官方对于cert-manger 解释和架构图
cert-manager是本地Kubernetes证书管理控制器。它可以帮助从各种来源颁发证书，例如Let's Encrypt， HashiCorp Vault， Venafi，简单的签名密钥对或自签名。
它将确保证书有效并且是最新的，并在到期前尝试在配置的时间续订证书。
它大致基于kube-lego的工作， 并从其他类似项目（例如kube-cert-manager）中借鉴了一些智慧 。
证书的申请过程
1.定义issuers 资源，证书的发行人。里边填的内容是使用什么方式和哪里去申请证书。（默认 用的最多acme）
2.定义证书资源Certificates。 定义想申请什么证书，域名是什么，从哪个issuers获取，然后申请到的证书保存在哪个secret
3.cert-manager读取 Certificates 里的信息，然后调用 issuers 通过指定的方式去获取证书
4. 通过验证获取的证书 保存在k8s的 secrets
原理个人分析
安装
kubectl apply --validate=false-f https://github.com/jetstack/cert-manager/releases/download/v0.15.1/cert-manager.yaml
# Kubernetes <1.15
1.安装cert-manger 相关组件 （可以helm 可以kubectl 等方式安装）默认会起3个pod服务，作为管理。一个webhook 作为插件和ingress挂钩
2.安装好之后定定义了4个主要的CRD 用来申请证书
Issuers, 定义一个证书申请的获取方式，让你的证书通过这个入口来申请。 用于独立的namespace
ClusterIssuers, 定义夸namespace 的证书申请获取方式。（比较实用）
Certificates, 申请一个证书资源的CRD
CertificateRequests 查看证书的申请过程
证书的申请支持多种方式。 ACME，CA, 自签名 等等
Acme 免费证书的申请
Acme 在cert-manger 里支持两种证书的申请的验证方式
HTTP01
配置举例
apiVersion: cert-manager.io/v1alpha2kind: ClusterIssuermetadata: name: letsencrypt-stagingspec: acme: # You must replace this email address with your own. # Let's Encrypt will use this to contact you about expiring # certificates, and issues related to your account. email: [email protected] server: https://acme-staging-v02.api.letsencrypt.org/directory privateKeySecretRef: # Secret resource that will be used to store the account's private key. name: example-issuer-account-key # Add a single challenge solver, HTTP01 using nginx solvers: - http01: ingress: class: nginx
DNS01
配置举例
apiVersion: cert-manager.io/v1alpha2 kind: Issuer metadata: name: example-issuer spec: acme: email: [email protected] server: https://acme-staging-v02.api.letsencrypt.org/directory privateKeySecretRef: name: example-issuer-account-key solvers: - dns01: clouddns: project: my-project serviceAccountSecretRef: name: prod-clouddns-svc-acct-secret key: service-account.json
DNS 方式目前支持的 dns 系统不多
操作演示。
1. 首先创建一个 issuers资源. 由于我们有很多namespace 我们定义一个 夸namespace 的issuers
apiVersion: cert-manager.io/v1alpha2
kind: ClusterIssuer
metadata:
name: cert-manager-cluster
spec:
acme:
# You must replace this email address with your own.
# Let's Encrypt will use this to contact you about expiring
# certificates, and issues related to your account.
email: [email protected]
server: https://acme-staging-v02.api.letsencrypt.org/directory
privateKeySecretRef:
# Secret resource that will be used to store the account's private key.
name: cert-manager-ingress-key
# Add a single challenge solver, HTTP01 using nginx
solvers:
- http01:
ingress:
class: nginx
kubectl apply -f clusterissuers.yaml
查看资源
2. 定义申请一个证书资源，让ACME 自动去获取证书。
首先要先配这个这个域名解析 解析到这个集群来 ，例如 配置了一个acme-test2.hkk8s.com 的测试域名。来测试
3. 验证可以解析之后.。 创建证书资源
apiVersion: cert-manager.io/v1alpha2
kind: Certificate
metadata:
name: acme-test2-secret
namespace: kube-test
spec:
secretName: acme-test2-secret
issuerRef:
kind: ClusterIssuer
name: cert-manager-cluster
commonName: acme-test2.hkk8s.com
dnsNames:
- acme-test2.hkk8s.com
意思是使用cert-manager-cluster 这个clusterissuer 来创建 acme-test2.hkk8s.com 的证书。
kubectl apply -f test.yaml
看到如下创建过程
发现其实它的原理是 cert-manger 调用了 K8S api 临时起了一个 小的nginx 作为测试，来验证DNS 的有效解析。成功后生成的证书
申请成功，这样自己配置域名就可以指定这个证书使用了
4.使用通过ingress 挂域名的方式自动获取证书。
首先，确定域名解析。
假设跑起了一个nginx 服务。正常运行。准备开启 ingress 访问。需要https
重新编辑这个ingress 文件
kubernetes.io/ingress.class: "nginx"
cert-manager.io/cluster-issuer: "cert-manager-cluster"
重点是这两句和 secret 的名字
---
apiVersion: v1
items:
- apiVersion: extensions/v1beta1
kind: Ingress
metadata:
annotations:
kubernetes.io/ingress.class: "nginx"
cert-manager.io/cluster-issuer: "cert-manager-cluster"
field.cattle.io/creatorId: user-4rs4k
field.cattle.io/ingressState: '{"YWNtZS10ZXN0My5oa2s4cy5jb20va3ViZS10ZXN0L2FjbWUtdGVzdDMuaGtrOHMuY29tLy84MA==":""}'
field.cattle.io/publicEndpoints: '[{"addresses":["121.14.43.142","121.14.43.150","129.227.135.210","129.227.135.218","129.227.135.222","129.227.135.226","129.227.135.230"],"port":80,"protocol":"HTTP","serviceName":"kube-test:nginx-acme-test","ingressName":"kube-test:acme-test3.hkk8s.com","hostname":"acme-test3.hkk8s.com","allNodes":false}]'
name:acme-test3.hkk8s.com
namespace: kube-test
spec:
tls:
- hosts:
-acme-test3.hkk8s.com
secretName:acme-test3.hkk8s.com-tls
rules:
- host:acme-test3.hkk8s.com
http:
paths:
- backend:
serviceName: nginx-acme-test
servicePort: 80
kubectl get certificate -n kube-test
查看证书的生成
大概需要1分钟左右的时间 成功生成证书
页面访问 证书成功申请到
-----
核心ingress 配置
kubernetes.io/ingress.class: "nginx"
cert-manager.io/cluster-issuer: "cert-manager-cluster"
- hosts:
- acme-test3.hkk8s.com
secretName: acme-test3.hkk8s.com-tls