Kubernetes 集群自签证书配置，Linux运维面试必问的HashMap

最新推荐文章于 2024-10-01 20:47:03 发布

m0_60607536

最新推荐文章于 2024-10-01 20:47:03 发布

阅读量707

点赞数 16

分类专栏： 2024年程序员学习文章标签：运维 kubernetes linux

本文链接：https://blog.csdn.net/m0_60607536/article/details/137400756

版权

2024年程序员学习专栏收录该内容

269 篇文章 2 订阅

订阅专栏

三、配置Issuer或者Clusterissuer

Issuer 与 ClusterIssuer 的区别是 ClusterIssuer 可跨命名空间使用，而 Issuer 需在每个命名空间下配置后才可使用。我在此使用 ClusterIssuer，其类型选择 Let‘s Encrypt

配置 staging 环境使用的 Let‘s Encrypt ClusterIssuer，并创建：

-     # cluster-issuer-letsencrypt-staging.yaml
        
        apiVersion: cert-manager.io/v1alpha2
        kind: ClusterIssuer
        metadata:
          name: letsencrypt-staging
        spec:
          acme:
            # 务必将此处替换为你自己的邮箱, 否则会配置失败。当证书快过期时 Let's Encrypt 会与你联系
            email: user@example.com
            server: https://acme-staging-v02.api.letsencrypt.org/directory
            privateKeySecretRef:
              # 将用来存储 Private Key 的 Secret 资源
              name: letsencrypt-staging
            # Add a single challenge solver, HTTP01 using nginx
            solvers:
            - http01:
                ingress:
                  class: nginx
                  
           ```

kubectl create -f cluster-issuer-letsencrypt-staging.yaml

配置 production 环境使用的 Let‘s Encrypt ClusterIssuer，并创建：

  # cluster-issuer-letsencrypt-prod.yaml
  
  apiVersion: cert-manager.io/v1alpha2
  kind: ClusterIssuer
  metadata:
    name: letsencrypt-prod
  spec:
    acme:
      server: https://acme-v02.api.letsencrypt.org/directory
      email: varroreve@gmail.com
      privateKeySecretRef:
        name: letsencrypt-prod
      solvers:
  
     - http01:
       ingress:
         class: nginx

 kubectl create -f cluster-issuer-letsencrypt-prod.yaml

查看创建clusterissuer状态：

 $ kubectl get clusterissuer

NAME                  READY   AGE
letsencrypt-prod      True    37s
letsencrypt-staging   True    119m

这里分别配置了测试环境与生产环境两个 ClusterIssuer，原因是 Let’s Encrypt 的生产环境有着非常严格的接口调用限制，最好是在测试环境测试通过后，再切换为生产环境。

测试：
这里已安装好 Nginx Ingress Controller 并已存在一个 Ingress 对象，现在为它开启 TLS 选项

 apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    nginx.ingress.kubernetes.io/service-weight: ''
    cert-manager.io/cluster-issuer: letsencrypt-prod  #增加指定的clusterissuer
  name: merchant-client-car-boss-ing
  namespace: saasmerchant
spec:
  rules:
    - host: car-boss.view.sxkemao.com  #域名
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: merchant-client-car-boss-cip
                port:
                  number: 80
  tls:    #开启tls并指定证书名称
    - hosts:
        - car-boss.view.sxkemao.com
      secretName: car-boss-tls  #自定义证书名称

删除ingress并重新发布一下ingress.yaml

查看cert-manager创建的证书

[root@template train]# kubectl get certificate -A
NAMESPACE      NAME               READY   SECRET             AGE
saasmerchant   car-boss-tls       True    car-boss-tls       3h30m
saasmerchant   car-customer-tls   True    car-customer-tls   60m

注：如果你的ingress做的是外部nginx转发需要先把nginx配置写好，确保能够正确访问到正确的域名

server {
    listen 80;
    server_name car-customer.view.sxkemao.com;

    location / {
            proxy_set_header Host car-customer.view.sxkemao.com;
            proxy_set_header Connection "Keep-Alive";
            proxy_set_header   X-Real-IP        $remote_addr;
            proxy_set_header   X-Forwarded-For  $remote_addr;
            proxy_pass http://car-customer.view.sxkemao.com;
    }
}

如果在阿里云上做的配置，需要把解析配置好，确保这个域名能够被公网访问，不然证书会签发失败

此证书加nginx配置只能在内网中访问，公网443需要在nginx配置TCP和UDP流量的负载均衡，需要使用到nginxstream模块。这个模块在nginx1.11.5以后的版本就已经默认安装，如果没有安装请自行安装
This is now possible with the addition of the ngx_stream_ssl_preread module added in Nginx 1.11.5 and the ngx_stream_map module added in 1.11.2.

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数Linux运维工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Linux运维全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Linux运维知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加VX：vip1024b （备注Linux运维获取）

最全的Linux教程，Linux从入门到精通

======================

linux从入门到精通(第2版)
Linux系统移植
Linux驱动开发入门与实战
LINUX 系统移植第2版
Linux开源网络全栈详解从DPDK到OpenFlow

华为18级工程师呕心沥血撰写3000页Linux学习笔记教程

第一份《Linux从入门到精通》466页

====================

内容简介

====

本书是获得了很多读者好评的Linux经典畅销书**《Linux从入门到精通》的第2版**。本书第1版出版后曾经多次印刷，并被51CTO读书频道评为“最受读者喜爱的原创IT技术图书奖”。本书第﹖版以最新的Ubuntu 12.04为版本，循序渐进地向读者介绍了Linux 的基础应用、系统管理、网络应用、娱乐和办公、程序开发、服务器配置、系统安全等。本书附带1张光盘，内容为本书配套多媒体教学视频。另外,本书还为读者提供了大量的Linux学习资料和Ubuntu安装镜像文件，供读者免费下载。

华为18级工程师呕心沥血撰写3000页Linux学习笔记教程

本书适合广大Linux初中级用户、开源软件爱好者和大专院校的学生阅读，同时也非常适合准备从事Linux平台开发的各类人员。

需要《Linux入门到精通》、《linux系统移植》、《Linux驱动开发入门实战》、《Linux开源网络全栈》电子书籍及教程的工程师朋友们劳烦您转发+评论

一个人可以走的很快，但一群人才能走的更远。如果你从事以下工作或对以下感兴趣，欢迎戳这里加入程序员的圈子，让我们一起学习成长！

AI人工智能、Android移动开发、AIGC大模型、C C#、Go语言、Java、Linux运维、云计算、MySQL、PMP、网络安全、Python爬虫、UE5、UI设计、Unity3D、Web前端开发、产品经理、车载开发、大数据、鸿蒙、计算机网络、嵌入式物联网、软件测试、数据结构与算法、音视频开发、Flutter、IOS开发、PHP开发、.NET、安卓逆向、云计算

ums/4304bb5a486d4c3ab8389e65ecb71ac0)