Kubernetes 集群自签证书配置

最新推荐文章于 2024-08-21 08:34:56 发布

code高级开源

最新推荐文章于 2024-08-21 08:34:56 发布

阅读量359

点赞数 5

分类专栏： 2024年程序员学习文章标签：运维 linux 面试

本文链接：https://blog.csdn.net/code8889/article/details/138900496

版权

2024年程序员学习专栏收录该内容

270 篇文章 3 订阅

订阅专栏

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以点击这里获取！

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

tar -zxvf helm-v3.2.4-linux-amd64.tar.gz


3、 将文件移动到PATH目录中

mv linux-amd64/helm /usr/local/bin/helm


二、安装Cert-manager


1、安装crds，根据自己的版本安装  
 官方cert-manager地址（https://cert-manager.io/docs/releases/）

kubectl apply --validate=false -f https://github.com/cert-manager/cert-manager/releases/download/v1.14.4/cert-manager.crds.yaml


2、创建命名空间，自定义空间名，空间名自定义

kubectl create namespace cert-manager


3、添加`Jetstack` Helm 仓库

helm repo add jetstack https://charts.jetstack.io


4、更新helm仓库

helm repo update


5、安装Cert Manager

helm install
cert-manager jetstack/cert-manager
–namespace cluster-service
–version v1.14.


查看安装的cert-manager

[root@template train]# kubectl get pod -ncluster-service
NAME READY STATUS RESTARTS AGE
cert-manager-75677b59b6-b6th7 1/1 Running 0 2d23h
cert-manager-cainjector-55b7d68468-4r9hr 1/1 Running 0 2d23h
cert-manager-webhook-6775789b6b-2n9w7 1/1 Running 0 2d23h


三、配置Issuer或者Clusterissuer


Issuer 与 ClusterIssuer 的区别是 ClusterIssuer 可跨命名空间使用，而 Issuer 需在每个命名空间下配置后才可使用。我在此使用 ClusterIssuer，其类型选择 Let‘s Encrypt


配置 staging 环境使用的 Let‘s Encrypt ClusterIssuer，并创建：

# cluster-issuer-letsencrypt-staging.yaml
  
  apiVersion: cert-manager.io/v1alpha2
  kind: ClusterIssuer
  metadata:
    name: letsencrypt-staging
  spec:
    acme:
      # 务必将此处替换为你自己的邮箱, 否则会配置失败。当证书快过期时 Let's Encrypt 会与你联系
      email: user@example.com
      server: https://acme-staging-v02.api.letsencrypt.org/directory
      privateKeySecretRef:
        # 将用来存储 Private Key 的 Secret 资源
        name: letsencrypt-staging
      # Add a single challenge solver, HTTP01 using nginx
      solvers:
      - http01:
          ingress:
            class: nginx
            
     ```

kubectl create -f cluster-issuer-letsencrypt-staging.yaml


配置 `production` 环境使用的 Let‘s Encrypt ClusterIssuer，并创建：

cluster-issuer-letsencrypt-prod.yaml

apiVersion: cert-manager.io/v1alpha2
kind: ClusterIssuer
metadata:
name: letsencrypt-prod
spec:
acme:
server: https://acme-v02.api.letsencrypt.org/directory
email: varroreve@gmail.com
privateKeySecretRef:
name: letsencrypt-prod
solvers:

 - http01:
   ingress:
     class: nginx

kubectl create -f cluster-issuer-letsencrypt-prod.yaml


查看创建clusterissuer状态：

$ kubectl get clusterissuer

NAME READY AGE
letsencrypt-prod True 37s
letsencrypt-staging True 119m


这里分别配置了测试环境与生产环境两个 ClusterIssuer， 原因是 Let’s Encrypt 的生产环境有着非常严格的接口调用限制，最好是在测试环境测试通过后，再切换为生产环境。


测试：  
 这里已安装好 Nginx Ingress Controller 并已存在一个 Ingress 对象，现在为它开启 TLS 选项

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
annotations:
nginx.ingress.kubernetes.io/service-weight: ‘’
cert-manager.io/cluster-issuer: letsencrypt-prod #增加指定的clusterissuer
name: merchant-client-car-boss-ing
namespace: saasmerchant
spec:
rules:
- host: car-boss.view.sxkemao.com #域名
http:
paths:
- path: /
pathType: Prefix
backend:
service:
name: merchant-client-car-boss-cip
port:
number: 80
tls: #开启tls并指定证书名称
- hosts:
- car-boss.view.sxkemao.com
secretName: car-boss-tls #自定义证书名称


删除ingress并重新发布一下ingress.yaml


查看cert-manager创建的证书

[root@template train]# kubectl get certificate -A
NAMESPACE NAME READY SECRET AGE
saasmerchant car-boss-tls True car-boss-tls 3h30m
saasmerchant car-customer-tls True car-customer-tls 60m


注：如果你的ingress做的是外部nginx转发需要先把nginx配置写好，确保能够正确访问到正确的域名

server {
listen 80;
server_name car-customer.view.sxkemao.com;

location / {
        proxy_set_header Host car-customer.view.sxkemao.com;
        proxy_set_header Connection "Keep-Alive";
        proxy_set_header   X-Real-IP        $remote_addr;

为了做好运维面试路上的助攻手，特整理了上百道 【运维技术栈面试题集锦】 ，让你面试不慌心不跳，高薪offer怀里抱！

这次整理的面试题，小到shell、MySQL，大到K8s等云原生技术栈，不仅适合运维新人入行面试需要，还适用于想提升进阶跳槽加薪的运维朋友。