在Kubernetes中如何使用cert-mananager申請(qǐng)TLS 證書

這篇文章主要介紹“在Kubernetes中如何使用cert-mananager申請(qǐng)TLS 證書”，在日常操作中，相信很多人在在Kubernetes中如何使用cert-mananager申請(qǐng)TLS 證書問題上存在疑惑，小編查閱了各式資料，整理出簡(jiǎn)單好用的操作方法，希望對(duì)大家解答”在Kubernetes中如何使用cert-mananager申請(qǐng)TLS 證書”的疑惑有所幫助！接下來，請(qǐng)跟著小編一起來學(xué)習(xí)吧！

問題描述

在部署 cert-manager 成功后，便可以使用它申請(qǐng) Let's Encrypt 證書。

解決方案

前置條件

已完成 cert-manager 的部署：參考 2.Installation 筆記；

TL;DR

我們使用提供 ACME 實(shí)現(xiàn)的 Let's Encrypt 服務(wù)來申請(qǐng)證書，并使用 DNS01 完成質(zhì)詢，所以應(yīng)該創(chuàng)建類似如下 ClusterIssuer 資源文件：

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: example-issuer
spec:
  acme:
    email: user@example.com
    server: https://acme-staging-v02.api.letsencrypt.org/directory
    privateKeySecretRef:
      name: example-issuer-account-key
    solvers:
    - dns01:
        cloudDNS:
          project: my-project
          serviceAccountSecretRef:
            name: prod-clouddns-svc-acct-secret
            key: service-account.json

但是，我們使用阿里云 DNS 服務(wù)，而不是 cloudDNS 服務(wù)，所以上述配置是不行的（無法完成 DNS01 質(zhì)詢）。然而，官方支持 ACMEDNS、Akamai、AzureDNS、CloudFlare、Google、Route53、DigitalOcean、RFC2136 這些 DNS01 服務(wù)商，并不包含我們所使用的阿里云服務(wù)商。好在 cert-manager 支持 Webhook 以允許定義自己的 DNS provider（這些便是 out-of-tree DNS provider），而這里便有開源的 AliDNS-Webhook 供我們使用（使用過程，參考 alidns-webhook/README.md at master 頁面）

第一步、部署 AliDNS-Webhook 實(shí)現(xiàn)

結(jié)合 AliDNS-Webhook 文檔，我們所使用的資源文件及部署過程如下：

./01-bundle.yaml
./02-alidns-secret.yaml
./03-letsencrypt-clusterissuer.yaml
./04-examplexyz-certificate.yaml

注意：1）./03-letsencrypt-clusterissuer.yaml 的 groupName: 與 ./01-bundle.yaml 的 group: 要保持一致，即要同時(shí)修改。默認(rèn)為 acme.yourcompany.com 參數(shù)。

kubectl apply -f ./01-bundle.yaml
kubectl apply -f ./02-alidns-secret.yaml
kubectl apply -f ./03-letsencrypt-clusterissuer.yaml
kubectl apply -f ./04-examplexyz-certificate.yaml

第二步、檢查證書是否申請(qǐng)成功

# kubectl describe -n default certificates.cert-manager.io example-xyz
...
Status:
  Conditions:
    Last Transition Time:  2021-05-07T01:30:33Z
    Message:               Certificate is up to date and has not expired
    Observed Generation:   1
    Reason:                Ready
    Status:                True
    Type:                  Ready
  Not After:               2021-08-05T00:30:32Z
  Not Before:              2021-05-07T00:30:32Z
  Renewal Time:            2021-07-06T00:30:32Z
  Revision:                1
Events:                    <none>

# kubectl get certificates.cert-manager.io
NAME                READY   SECRET              AGE
example-xyz         True    example-xyz         2m

// 此時(shí)，證書申請(qǐng)成功

切換到 Let's Encrypt 生產(chǎn)環(huán)境

證書申請(qǐng)成功之后，還有最后一件事情：我們這里僅是在 Let's Encrypt 的 Staging 環(huán)境中完成申請(qǐng)證書的測(cè)試，還需要切換到 Let's Encrypt 生產(chǎn)環(huán)境。

修改 ./03-letsencrypt-clusterissuer.yaml 的 server: 為 https://acme-v02.api.letsencrypt.org/directory 以使用生產(chǎn)環(huán)境來申請(qǐng)真正的證書。

補(bǔ)充說明

更多 DNS 服務(wù)商，參考 cert-manager-webhook · GitHub Topics 頁面。

常見錯(cuò)誤匯總

... is forbidden ... cannot create resource "alidns" in API group ... at the cluster scope

問題描述：

alidns.acme.example.com is forbidden: User "system:serviceaccount:cert-manager:cert-manager" 
cannot create resource "alidns" in API group "acme.example.com" at the cluster scope

原因分析：./03-letsencrypt-clusterissuer.yaml 的 groupName: 未與 ./01-bundle.yaml 的 group: 要保持一致

解決方案：保持 groupName: 與 group: 一致。

到此，關(guān)于“在Kubernetes中如何使用cert-mananager申請(qǐng)TLS 證書”的學(xué)習(xí)就結(jié)束了，希望能夠解決大家的疑惑。理論與實(shí)踐的搭配能更好的幫助大家學(xué)習(xí)，快去試試吧！若想繼續(xù)學(xué)習(xí)更多相關(guān)知識(shí)，請(qǐng)繼續(xù)關(guān)注億速云網(wǎng)站，小編會(huì)繼續(xù)努力為大家?guī)砀鄬?shí)用的文章！