1. 树叶云首页
  2. 技术资讯

Cert-Manager 实现 K8s 服务域名证书自动化续签

运维••技术资讯

Cert-Manager 实现 K8s 服务域名证书自动化续签

作者：Marionxue 2023-03-01 19:03:35

云计算

云原生 Cert-Manager 是将 TLS 证书视为一种资源，就像 Pod、Service 和 Deployment 一样，可以使用 Kubernetes API 进行管理。它使用了自定义资源定义（CRD）机制，通过扩展 Kubernetes API，为证书的生命周期提供了标准化的管理方式。

简介

Cert-Manager[1]是一款用于 Kubernetes 集群中自动化管理 TLS 证书的开源工具，它使用了 Kubernetes 的自定义资源定义（CRD）机制，让证书的创建、更新和删除变得非常容易。

设计理念

Cert-Manager 是将 TLS 证书视为一种资源，就像 Pod、Service 和 Deployment 一样，可以使用 Kubernetes API 进行管理。它使用了自定义资源定义（CRD）机制，通过扩展 Kubernetes API，为证书的生命周期提供了标准化的管理方式。

架构设计

Cert-Manager 的架构分为两层：控制层和数据层。

控制层: 负责证书的管理，包括证书的创建、更新和删除等。

数据层: 负责存储证书相关的数据，包括证书的私钥、证书请求、证书颁发机构等。

Cert-Manager 支持多种证书颁发机构，包括**自签名证书selfSigned**、Let’s Encrypt、HashiCorp Vault、Venafi 等。它还支持多种验证方式，包括 HTTP 验证、DNS 验证和 TLS-SNI 验证等。这些验证方式可以帮助确保证书的颁发机构是可信的，并且确保证书的私钥不会泄露。

使用场景

Cert-Manager 的使用场景非常广泛，包括以下几个方面：

  1. HTTPS 访问：通过 Cert-Manager 可以方便地为 Kubernetes 集群中的 Service 和 Ingress 创建 TLS 证书，以便实现 HTTPS 访问。
  2. 部署安全：Cert-Manager 可以为 Kubernetes 集群中的 Pod 创建 TLS 证书，以确保 Pod 之间的通信是加密的。
  3. 服务间认证：Cert-Manager 可以为 Kubernetes 集群中的 Service 创建 TLS 证书，以确保 Service 之间的通信是加密的。
  4. 其他应用场景：Cert-Manager 还可以用于为其他应用程序创建 TLS 证书，以确保通信是加密的。

解决的实际问题

  1. 自动化管理证书：Cert-Manager 可以自动化地管理 TLS 证书，无需人工干预，自动签发证书以及过期前 renew 证书等问题，避免了证书管理的复杂性和错误。
  2. 安全性：Cert-Manager 可以帮助确保证书的颁发机构是可信的，并确保证书的私钥不会泄露，从而提高了通信的安全性。
  3. 管理成本：Cert-Manager 可以通过标准化证书的管理方式，简化证书管理的成本和流程。

cert-manager 创建证书的过程

在 Kubernetes 中，cert-manager 通过以下流程创建资源对象以签发证书：

  1. 创建一个 CertificateRequest 对象，包含证书的相关信息，例如证书名称、域名等。该对象指定了使用的 Issuer 或 ClusterIssuer，以及证书签发完成后，需要存储的 Secret 的名称。
  2. Issuer 或 ClusterIssuer 会根据证书请求的相关信息，创建一个 Order 对象，表示需要签发一个证书。该对象包含了签发证书所需的域名列表、证书签发机构的名称等信息。
  3. 证书签发机构根据 Order 对象中的信息创建一个或多个 Challenge 对象，用于验证证书申请者对该域名的控制权。Challenge 对象包含一个 DNS 记录或 HTTP 服务，证明域名的所有权。
  4. cert-manager 接收到 Challenge 对象的回应ChallengeResponse后，会将其更新为已解决状态。证书签发机构会检查所有的 Challenge 对象，如果全部通过验证，则会签发证书。
  5. 签发证书完成后，证书签发机构会将证书信息写入 Secret 对象，同时将 Order 对象标记为已完成。证书信息现在可以被其他部署对象使用。

cert-manager 在 k8s 中创建证书的整个过程可以通过以下流程图来描述：

+-------------+
||
|Ingress/|
|annotations|
||
+------+------+
|
|watchingresschange
|
v
+-------------+
||
|Issuer/|
|ClusterIssuer|
||
+------+------+
|
|CreateCertificateRequest
|
v
+------+------+
||
|CertificateRequest|
||
+------+------+
|
|CreateOrder
|
v
+------+------+
||
|Order|
||
+------+------+
|
|CreateChallenges
|
v
+------+------+
||
|Challenge|
||
+------+------+
|
|RespondtoChallenge
|
v
+------+------+
||
|ChallengeResponse|
||
+------+------+
|
|IssueCertificate
|
v
+------+------+
||
|Secret|
||
+------+------+

实际上在我们手动实践的时候，可以通过以下命令查看各个过程的信息：

kubectlgetCertificateRequests,Orders,Challenges

到这里，在了解了 cert-manager 的设计理念、架构设计、使用场景、实际解决的问题之后，动手操作利用 cert-manager 给实际项目创建证书。

安装和配置

安装 cert-manager。

kubectlapply-fhttps://github.com/cert-manager/cert-manager/releases/download/v1.11.0/cert-manager.yaml

NAMEREADYSTATUSRESTARTSAGE
cert-manager-5d495db6fc-6rtxx1/1Running09m56s
cert-manager-cainjector-5f9c9d977f-bxchd1/1Running09m56s
cert-manager-webhook-57bd45f9c-89q871/1Running09m56s

使用 cmctl 命令行工具检查 cert-manager 是否正常

brewinstallcmctl
cmctlcheckapi

安装完成后，Cert-manager 将自动创建 CRD（Custom Resource Definitions）和相关的资源，如证书、密钥。

检查 cert-manager 的webhook是否正常。

cat<<EOF>02-test-resources.yaml
apiVersion: v1
kind: Namespace
metadata:
name: cert-manager-test
---
apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
name: test-selfsigned
namespace: cert-manager-test
spec:
selfSigned: {}
---
apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
name: selfsigned-cert
namespace: cert-manager-test
spec:
dnsNames:
-example.com
secretName: selfsigned-cert-tls
issuerRef:
name: test-selfsigned
EOF

kubectlapply-f02-test-resources.yaml
kubectldelete-f02-test-resources.yaml

创建 cert-manager 的证书颁发实体对象

cert-manager 的 Issuer 和 ClusterIssuer 都是用来定义证书颁发的实体的资源对象。

  • Issuer 是命名空间级别的资源，用于在命名空间内颁发证书。例如，当您需要使用自签名证书来保护您的服务，或者使用 Let’s Encrypt 等公共证书颁发机构来颁发证书时，可以使用 Issuer。
  • ClusterIssuer 是集群级别的资源，用于在整个集群内颁发证书。例如，当您需要使用公司的内部 CA 来颁发证书时，可以使用 ClusterIssuer。

知道两者之间的区别之后，你就可以根据自己的使用情况来决定自己的 issuer 的类型。这里列出几种常用的 issuer 使用模板：

  • 创建 staging 环境的证书颁发者 issuer。
apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
name: letsencrypt-staging
spec:
acme:
#TheACMEserverURL
server: https://acme-staging-v02.api.letsencrypt.org/directory
#EmailaddressusedforACMEregistration
email: xxx@qq.com#此处填写你的邮箱地址
#NameofasecretusedtostoretheACMEaccountprivatekey
privateKeySecretRef:
name: letsencrypt-staging
#EnabletheHTTP-01challengeprovider
solvers:
-http01:
ingress:
class:  nginx

使用 staging 环境颁发的证书无法正常在公网使用，需要本地添加受信任根证书。

  • 创建 prod 环境的证书颁发者 issuer。
apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
name: letsencrypt-prod
spec:
acme:
#TheACMEserverURL
server: https://acme-v02.api.letsencrypt.org/directory
#EmailaddressusedforACMEregistration欢迎关注·云原生生态圈
email: xxx@qq.com
#NameofasecretusedtostoretheACMEaccountprivatekey
privateKeySecretRef:
name: letsencrypt-prod
#EnabletheHTTP-01challengeprovider
solvers:
-http01:
ingress:
class: nginx
  • 创建 staging 环境的证书颁发者 ClusterIssuer。
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
name: letsencrypt-staging
spec:
acme:
#TheACMEserverURL
server: https://acme-staging-v02.api.letsencrypt.org/directory
#EmailaddressusedforACMEregistration欢迎关注·云原生生态圈
email: xxx@qq.com
#NameofasecretusedtostoretheACMEaccountprivatekey
privateKeySecretRef:
name: letsencrypt-staging
#EnabletheHTTP-01challengeprovider
solvers:
-http01:
ingress:
class:  nginx
  • 创建 Prod 环境的证书颁发者 ClusterIssuer。
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
name: letsencrypt-prod
spec:
acme:
#TheACMEserverURL
server: https://acme-v02.api.letsencrypt.org/directory
#EmailaddressusedforACMEregistration欢迎关注·云原生生态圈
email: xxx@qq.com
#NameofasecretusedtostoretheACMEaccountprivatekey
privateKeySecretRef:
name: letsencrypt-prod
#EnabletheHTTP-01challengeprovider
solvers:
-http01:
ingress:
class: nginx

通过应用实际测试一下

这里我们基本上就完成了 cert-manager 签署证书的所有前置工作，下面通过一个简单实例测试证书：这里我们部署一个开源小项目文件传递柜

apiVersion: v1
kind: PersistentVolume
metadata:
name: filecodebox-pv
labels:
type: local
spec:
storageClassName: manual
capacity:
storage: 5Gi
accessModes:
-ReadWriteOnce
hostPath:
path: "/data/filecodebox"
---
apiVersion: v1
kind: PersistentVolumeClaim
metadata:
name: filecodebox-pvc
namespace: blogs
spec:
storageClassName: manual
accessModes:
-ReadWriteOnce
resources:
requests:
storage: 5Gi
---
apiVersion: apps/v1
kind: Deployment
metadata:
name: filecodebox
namespace: blogs
labels:
app: filecodebox
spec:
replicas: 1
template:
metadata:
name: filecodebox
labels:
app: filecodebox
spec:
containers:
-name: filecodebox
image: lanol/filecodebox:latest
imagePullPolicy: IfNotPresent
volumeMounts:
-mountPath: /app/data
name: filecodeboxdata
-mountPath: /etc/localtime
name: timezone
readOnly: true
restartPolicy: Always
volumes:
-name: filecodeboxdata
persistentVolumeClaim:
claimName: filecodebox-pvc
-name: timezone
hostPath:
path: /usr/share/zoneinfo/Asia/Shanghai
selector:
matchLabels:
app: filecodebox
---
apiVersion: v1
kind: Service
metadata:
name: filecodebox-svc
namespace: blogs
spec:
selector:
app: filecodebox
ports:
-port: 12345
type: ClusterIP
---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: filecodebox-ingress
namespace: blogs
labels:
exposed_by: ingress
annotations:
cert-manager.io/cluster-issuer: "letsencrypt-prod"#此处我们是基于issuer颁发一个prod的证书
spec:
ingressClassName: nginx
tls:
-hosts:
-file.devopsman.cn
secretName: filecodebox-tls
rules:
-host: file.devopsman.cn
http:
paths:
-pathType: Prefix
path: "/"
backend:
service:
name: filecodebox-svc
port:
number: 12345

创建之后，这里就可以检验一下证书的有效期，查看是否生效。

root# echo | openssl s_client -servername file.devopsman.cn  -connect file.devopsman.cn:443 2>/dev/null | openssl x509 -noout -dates
notBefore=Mar  1 04:02:01 2023 GMT
notAfter=May 30 04:02:00 2023 GMT

这里我们也可以通过 kubectl 查看签发生成的证书来确定。

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  creationTimestamp: "2023-03-01T05:01:18Z"
  generation: 1
  labels:
    exposed_by: ingress
  name: filecodebox-tls
  namespace: blogs
  ownerReferences:
  - apiVersion: networking.k8s.io/v1
    blockOwnerDeletion: true
    controller: true
    kind: Ingress
    name: filecodebox-ingress
    uid: 3e2972a3-934b-431f-afee-4f649f5e1df3
  resourceVersion: "26802670"
  uid: 3d58d600-87aa-4119-bbdd-6566a8a0331b
spec:
  dnsNames:
  - file.devopsman.cn
  issuerRef:
    group: cert-manager.io
    kind: ClusterIssuer
    name: letsencrypt-prod
  secretName: filecodebox-tls
  usages:
  - digital signature
  - key encipherment
status:
  conditions:
  - lastTransitionTime: "2023-03-01T05:02:03Z"
    message: Certificate is up to date and has not expired
    observedGeneration: 1
    reason: Ready
    status: "True"
    type: Ready
  notAfter: "2023-05-30T04:02:00Z"
  notBefore: "2023-03-01T04:02:01Z"
  renewalTime: "2023-04-30T04:02:00Z"
  revision: 1

在上面了解完证书颁发到签发的过程后，就可以通过以下命令查看整个过程大概的细节

kubectlgetCertificateRequests,Orders,Challenges

写到这里，cert-manager 签署证书请求的方式基本上了解了，有感兴趣的话题，可以一起交流，下一篇准备记录一下 cert-manager 如何在内部局域网如何通过创建自签颁发者来颁发以及签发我们需要的证书来在尽可能节省成本的基础上模拟真实环境。

文章来源网络，作者：运维，如若转载，请注明出处：https://shuyeidc.com/wp/258143.html<

赞 (0)
运维的头像运维
00
上一篇2025-05-02 02:33
下一篇 2025-05-02 02:34

相关推荐

  • 如何制作个人主题技术资讯

    个人主题怎么制作？

    制作个人主题是一个将个人风格、兴趣或专业领域转化为视觉化或结构化内容的过程，无论是用于个人博客、作品集、社交媒体账号还是品牌形象，核心都是围绕“个人特色”展开，以下从定位、内容规划、视觉设计、技术实现四个维度,详细拆解制作个人主题的完整流程，明确主题定位：找到个人特色的核心主题定位是所有工作的起点，需要先回答……

    运维的头像运维
    2025-11-20
    0
  • 如何管理社群营销技术资讯

    社群营销管理关键是什么？

    社群营销的核心在于通过建立有温度、有价值、有归属感的社群，实现用户留存、转化和品牌传播，其管理需贯穿“目标定位-内容运营-用户互动-数据驱动-风险控制”全流程,以下从五个维度展开详细说明：明确社群定位与目标社群管理的首要任务是精准定位，需明确社群的核心价值（如行业交流、产品使用指导、兴趣分享等）、目标用户画像……

    运维的头像运维
    2025-11-20
    0
  • 香港公司如何网站备案技术资讯

    香港公司网站备案需要什么材料？

    香港公司进行网站备案是一个涉及多部门协调、流程相对严谨的过程，尤其需兼顾中国内地与香港两地的监管要求，由于香港公司注册地与中国内地不同，其网站若主要服务内地用户或使用内地服务器，需根据服务器位置、网站内容性质等，选择对应的备案路径（如工信部ICP备案或公安备案），以下从备案主体资格、流程步骤、材料准备、注意事项……

    运维的头像运维
    2025-11-20
    0
  • 如何企业上云推广技术资讯

    如何企业上云推广

    企业上云已成为数字化转型的核心战略,但推广过程中需结合行业特性、企业痛点与市场需求，构建系统性、多维度的推广体系，以下从市场定位、策略设计、执行落地及效果优化四个维度，详细拆解企业上云推广的实践路径，精准定位：明确目标企业与核心价值企业上云并非“一刀切”的方案，需先锁定目标客户群体，提炼差异化价值主张，客户分层……

    运维的头像运维
    2025-11-20
    0
  • PS如何设计搜索框技术资讯

    PS设计搜索框的实用技巧有哪些？

    在PS中设计一个美观且功能性的搜索框需要结合创意构思、视觉设计和用户体验考量，以下从设计思路、制作步骤、细节优化及交互预览等方面详细说明，帮助打造符合需求的搜索框，设计前的规划明确使用场景：根据网站或APP的整体风格确定搜索框的调性，例如极简风适合细线条和纯色，科技感适合渐变和发光效果，电商类则可能需要突出搜索……

    运维的头像运维
    2025-11-20
    0

发表回复

您的邮箱地址不会被公开。必填项已用 * 标注