Как установить Kubernetes Cert-Manager и настроить Let’s Encrypt

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app
spec:
  replicas: 1
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
        - name: my-app
          image: wordpress:latest
          ports:
            - containerPort: 80
 
---

apiVersion: v1
kind: Service
metadata:
  name: my-service
spec:
  selector:
    app: my-app
  ports:
    port: 80
 
---

apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: my-ingress
  annotations:
    kubernetes.io/ingress.class: nginx
    cert-manager.io/cluster-issuer: letsencrypt-staging
spec:
  rules:
    - host: example.com
      http:
        paths:
          - path: /
            backend:
              serviceName: my-service
              servicePort: 80
  tls:
    - hosts:
      - example.com

Этот файл YAML определяет Pod, службу и Ingress, раскрывающие службу. Предполагается использование nginx-ingress в качестве контроллера Ingress. Pod запускает контейнер WordPress, который будет доступен через HTTPS по адресу example.com.

Наличие аннотации cert-manager.io/cluster-issuer в ресурсе Ingress будет обнаружено Cert-Manager. Он будет использовать эмитент кластера letsencrypt-staging, созданный ранее, для получения сертификата, охватывающего имена хостов, указанные в поле tls.hosts Ingress.

Использование Let’s Encrypt в продакшене

После успешного получения промежуточного сертификата вы можете перейти на рабочие серверы Let’s Encrypt. Промежуточные сертификаты действительны, но браузеры им не доверяют, поэтому перед запуском сайта вам необходимо получить замену в производственной среде.

Лучше всего добавить отдельный эмитент кластера для рабочего сервера. Затем вы можете сослаться на соответствующего издателя в каждом из ваших ресурсов Ingress, в зависимости от того, готовы ли они к работе.

Скопируйте конфигурацию эмитента, показанную выше, и измените поля name на letsencrypt-production. Затем замените URL-адрес сервера значением, показанным ниже:

https://acme-v02.api.letsencrypt.org/directory

Создайте новый эмитент в своем кластере:

kubectl create -f issuer-production.yml

Обновите свой ресурс Ingress, чтобы запросить производственный сертификат, изменив значение аннотации cert-manager.io/cluster-issuer на letsencrypt-production (или имя, которое вы присвоили ваш собственный производственный эмитент). Используйте kubectl, чтобы применить изменение:

kubectl apply -f my-ingress.yaml

Теперь у вас должен быть полностью включен HTTPS для вашего ресурса Ingress. Cert-Manager будет автоматически управлять вашими сертификатами и обновлять их до истечения срока их действия.

Обновление диспетчера сертификатов

Выпуски Cert-Manager обычно поддерживают обновления на месте с помощью Helm:

helm repo update
helm upgrade --version <new version> cert-manager jetstack/cert-manager

Сертификаты остаются доступными во время обновлений, но процесс обновления будет остановлен.

Несмотря на то, что обновления в настоящее время, как правило, просты, вы всегда должны просматривать примечания к выпуску, чтобы определить возможные изменения, которые необходимо внести. Это особенно важно, если вы обновляете Kubernetes или переходите с нескольких версий Cert-Manager. Если вы все еще используете более старую версию Kubernetes, возможно, вы используете устаревшую версию Cert-Manager, которая требует значительного ручного вмешательства для обновления.

Краткое содержание

Let’s Encrypt легко добавляется в кластер Kubernetes с помощью Cert-Manager. Вам нужно установить Cert-Manager с помощью Helm, создать эмитента, использующего Let’s Encrypt API, а затем сослаться на этого эмитента в своих ресурсах Ingress.

Вы можете предоставить Cert-Manager свою собственную конфигурацию для более продвинутых вариантов использования. Вы можете указать срок действия сертификата (используйте аннотацию cert-manager.io/duration Ingress), вручную объявить общее имя сертификата (cert-manager.io/common-name ) и использовать вызовы DNS вместо HTTP. Последний вариант может быть полезен в определенных сценариях, например, когда вы хотите получить групповой сертификат.

Простое использование для защиты веб-приложений и API должно работать как есть с использованием ресурсов, показанных выше. Проверка HTTP работает, манипулируя контроллером Ingress для предоставления временного URL-адреса .well-known, к которому Let’s Encrypt может получить доступ. Если ваш домен предоставляет правильное значение для этого URL-адреса, Let’s Encrypt считает, что вы контролируете ситуацию, и выдает сертификат.