Kubernetes 集群自签证书配置(2)

为了做好运维面试路上的助攻手，特整理了上百道 【运维技术栈面试题集锦】 ，让你面试不慌心不跳，高薪offer怀里抱！

这次整理的面试题，小到shell、MySQL，大到K8s等云原生技术栈，不仅适合运维新人入行面试需要，还适用于想提升进阶跳槽加薪的运维朋友。

本份面试集锦涵盖了

• 174 道运维工程师面试题
• 128道k8s面试题
• 108道shell脚本面试题
• 200道Linux面试题
• 51道docker面试题
• 35道Jenkis面试题
• 78道MongoDB面试题
• 17道ansible面试题
• 60道dubbo面试题
• 53道kafka面试
• 18道mysql面试题
• 40道nginx面试题
• 77道redis面试题
• 28道zookeeper

总计 1000+ 道面试题， 内容 又全含金量又高

• 174道运维工程师面试题

1、什么是运维?

2、在工作中，运维人员经常需要跟运营人员打交道，请问运营人员是做什么工作的?

3、现在给你三百台服务器，你怎么对他们进行管理?

4、简述raid0 raid1raid5二种工作模式的工作原理及特点

5、LVS、Nginx、HAproxy有什么区别?工作中你怎么选择?

6、Squid、Varinsh和Nginx有什么区别，工作中你怎么选择?

7、Tomcat和Resin有什么区别，工作中你怎么选择?

8、什么是中间件?什么是jdk?

9、讲述一下Tomcat8005、8009、8080三个端口的含义？

10、什么叫CDN?

11、什么叫网站灰度发布?

12、简述DNS进行域名解析的过程?

13、RabbitMQ是什么东西?

14、讲一下Keepalived的工作原理?

15、讲述一下LVS三种模式的工作过程?

16、mysql的innodb如何定位锁问题，mysql如何减少主从复制延迟?

17、如何重置mysql root密码?

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以点击这里获取！

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

3、 将文件移动到PATH目录中

 mv linux-amd64/helm /usr/local/bin/helm 

二、安装Cert-manager

1、安装crds，根据自己的版本安装
官方cert-manager地址（https://cert-manager.io/docs/releases/）

kubectl apply --validate=false -f https://github.com/cert-manager/cert-manager/releases/download/v1.14.4/cert-manager.crds.yaml

2、创建命名空间，自定义空间名，空间名自定义

 kubectl create namespace cert-manager 

3、添加Jetstack Helm 仓库

 helm repo add jetstack https://charts.jetstack.io 

4、更新helm仓库

 helm repo update 

5、安装Cert Manager

helm install \
  cert-manager jetstack/cert-manager \
  --namespace cluster-service \
  --version v1.14.

查看安装的cert-manager

[root@template train]# kubectl get pod -ncluster-service
NAME                                       READY   STATUS    RESTARTS   AGE
cert-manager-75677b59b6-b6th7              1/1     Running   0          2d23h
cert-manager-cainjector-55b7d68468-4r9hr   1/1     Running   0          2d23h
cert-manager-webhook-6775789b6b-2n9w7      1/1     Running   0          2d23h

三、配置Issuer或者Clusterissuer

Issuer 与 ClusterIssuer 的区别是 ClusterIssuer 可跨命名空间使用，而 Issuer 需在每个命名空间下配置后才可使用。我在此使用 ClusterIssuer，其类型选择 Let‘s Encrypt

配置 staging 环境使用的 Let‘s Encrypt ClusterIssuer，并创建：

-     # cluster-issuer-letsencrypt-staging.yaml
        
        apiVersion: cert-manager.io/v1alpha2
        kind: ClusterIssuer
        metadata:
          name: letsencrypt-staging
        spec:
          acme:
            # 务必将此处替换为你自己的邮箱, 否则会配置失败。当证书快过期时 Let's Encrypt 会与你联系
            email: user@example.com
            server: https://acme-staging-v02.api.letsencrypt.org/directory
            privateKeySecretRef:
              # 将用来存储 Private Key 的 Secret 资源
              name: letsencrypt-staging
            # Add a single challenge solver, HTTP01 using nginx
            solvers:
            - http01:
                ingress:
                  class: nginx
                  
           ```

kubectl create -f cluster-issuer-letsencrypt-staging.yaml

配置 production 环境使用的 Let‘s Encrypt ClusterIssuer，并创建：

  # cluster-issuer-letsencrypt-prod.yaml
  
  apiVersion: cert-manager.io/v1alpha2
  kind: ClusterIssuer
  metadata:
    name: letsencrypt-prod
  spec:
    acme:
      server: https://acme-v02.api.letsencrypt.org/directory
      email: varroreve@gmail.com
      privateKeySecretRef:
        name: letsencrypt-prod
      solvers:
  
     - http01:
       ingress:
         class: nginx

 kubectl create -f cluster-issuer-letsencrypt-prod.yaml 

查看创建clusterissuer状态：

 $ kubectl get clusterissuer

NAME                  READY   AGE
letsencrypt-prod      True    37s
letsencrypt-staging   True    119m

这里分别配置了测试环境与生产环境两个 ClusterIssuer， 原因是 Let’s Encrypt 的生产环境有着非常严格的接口调用限制，最好是在测试环境测试通过后，再切换为生产环境。

测试：
这里已安装好 Nginx Ingress Controller 并已存在一个 Ingress 对象，现在为它开启 TLS 选项

 apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    nginx.ingress.kubernetes.io/service-weight: ''
    cert-manager.io/cluster-issuer: letsencrypt-prod  #增加指定的clusterissuer
  name: merchant-client-car-boss-ing
  namespace: saasmerchant
spec:
  rules:
    - host: car-boss.view.sxkemao.com  #域名
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: merchant-client-car-boss-cip
                port:
                  number: 80
  tls:    #开启tls并指定证书名称
    - hosts:
        - car-boss.view.sxkemao.com
      secretName: car-boss-tls  #自定义证书名称

删除ingress并重新发布一下ingress.yaml

查看cert-manager创建的证书

[root@template train]# kubectl get certificate -A
NAMESPACE      NAME               READY   SECRET             AGE
saasmerchant   car-boss-tls       True    car-boss-tls       3h30m
saasmerchant   car-customer-tls   True    car-customer-tls   60m

注：如果你的ingress做的是外部nginx转发需要先把nginx配置写好，确保能够正确访问到正确的域名

server {
    listen 80;
    server_name car-customer.view.sxkemao.com;

    location / {
            proxy_set_header Host car-customer.view.sxkemao.com;
            proxy_set_header Connection "Keep-Alive";
            proxy_set_header   X-Real-IP        $remote_addr;
            proxy_set_header   X-Forwarded-For  $remote_addr;
            proxy_pass http://car-customer.view.sxkemao.com;
    }


**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**[需要这份系统化的资料的朋友，可以点击这里获取！](https://bbs.csdn.net/topics/618635766)**

**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**

   proxy_pass http://car-customer.view.sxkemao.com;
    }


**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**[需要这份系统化的资料的朋友，可以点击这里获取！](https://bbs.csdn.net/topics/618635766)**

**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**