「Kubernetes」- 使用 cert-manager 申请 Let’s Encrypt 证书 | 阿里云 DNS 服务集成

在部署 cert-manager 成功后，便能够使用它申请 Let’s Encrypt 证书。该笔记将记录：在 Kubernetes 中，如何使用 cert-mananager 申请 TLS 证书。

分析

根据 cert-manager/DNS01/Webhook 指引，我们使用 DEVmachine-fr/cert-manager-alidns-webhook 开源项目，而 pragkent/alidns-webhook 并未提供 Helm Chart 包，所以我们未使用该项目。

方案

前置条件

完成 cert-manager 部署；

背景知识

需要阅读如下文档：
cert-manager/Configuration/ACME
—- cert-manager/Configuration/ACME/DNS01
——– cert-manager/Configuration/ACME/DNS01/Webhook

我们使用实现 ACME 的 Let’s Encrypt 服务来申请证书，并使用 DNS01 完成质询，所以应该创建类似如下 ClusterIssuer 资源文件：

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: example-issuer
spec:
  acme:
    email: user@example.com
    server: https://acme-staging-v02.api.letsencrypt.org/directory
    privateKeySecretRef:
      name: example-issuer-account-key
    solvers:
    - dns01:
        cloudDNS:
          project: my-project
          serviceAccountSecretRef:
            name: prod-clouddns-svc-acct-secret
            key: service-account.json

但是，我们使用阿里云 DNS 服务，而不是 cloudDNS 服务，所以上述配置是不行的（无法完成 DNS01 质询）。并且官方仅支持 ACMEDNS、Akamai、AzureDNS、CloudFlare、Google、Route53、DigitalOcean、RFC2136 这些服务，并不包含我们所使用的阿里云服务商。

好在 cert-manager 支持 Webhook 以允许定义自己的 DNS provider（这些便是 out-of-tree DNS provider），而这里便有开源的 AliDNS-Webhook 供我们使用。参考 alidns-webhook/README.md at master 文档，获取详细的配置使用方法。

第一步、部署 AliDNS-Webhook 实现

结合 AliDNS-Webhook 文档，我们所使用的资源文件及部署过程如下：

./01-bundle.yaml
替换文件的 acme.yourcompany.com 修改为公司域名，比如 acme.example.com 域名；

./02-alidns-secret.yaml
填写阿里云 API 访问的 Access ID 与 Access Key 参数；

./03-letsencrypt-clusterissuer.yaml
文件的 groupName 要与 ./01-bundle.yaml 的 group 要保持一致。这里设置为 acme.example.com 参数。

./04-examplexyz-certificate.yaml

kubectl apply -f ./01-bundle.yaml
kubectl apply -f ./02-alidns-secret.yaml
kubectl apply -f ./03-letsencrypt-clusterissuer.yaml
kubectl apply -f ./04-examplexyz-certificate.yaml

第二步、检查证书是否申请成功

# kubectl describe -n default certificates.cert-manager.io example-xyz
...
Status:
  Conditions:
    Last Transition Time:  2021-05-07T01:30:33Z
    Message:               Certificate is up to date and has not expired
    Observed Generation:   1
    Reason:                Ready
    Status:                True
    Type:                  Ready
  Not After:               2021-08-05T00:30:32Z
  Not Before:              2021-05-07T00:30:32Z
  Renewal Time:            2021-07-06T00:30:32Z
  Revision:                1
Events:                    <none>

# kubectl get certificates.cert-manager.io
NAME                READY   SECRET              AGE
example-xyz         True    example-xyz         2m

// 此时，证书申请成功

第三步、切换到 Let’s Encrypt 生产环境

证书申请成功之后，还有最后一件事情：我们这里仅是在 Let’s Encrypt 的 Staging 环境中完成申请证书的测试，还需要切换到 Let’s Encrypt 生产环境。

修改 ./03-letsencrypt-clusterissuer.yaml 的 server: 为 https://acme-v02.api.letsencrypt.org/directory 以使用生产环境来申请真正的证书。

第四步、配置 Ingress 证书

参考 3.2 Solutions and Applications 笔记。

补充说明

更多 DNS 服务商，参考 cert-manager-webhook · GitHub Topics 页面。

参考文献

alidns-webhook/README.md at master · pragkent/alidns-webhook
DNS01 | cert-manager
Boulder: The Let’s Encrypt CA
Staging Environment – Let’s Encrypt

通过 cert-manager 申请 Let’s Encrypt 证书

问题描述

前面步骤演示如何部署 cert-manager 组件，并成功申请自签名证书，但这并非我们的实际应用场景；

我们希望通过 cert-manager 组件，在集群内完成 Let’s Encrypt 证书申请和管理：
1）我们使用阿里云 DNS，并通过 DNS01 完成域名所有权认证（部分集群在内网，无法使用 HTTP01 认证）；

解决方案

需要阅读如下文档，以了解相关内容：
cert-manager/Configuration/ACME
—- cert-manager/Configuration/ACME/DNS01
——– cert-manager/Configuration/ACME/DNS01/Webhook

我们这里使用 DEVmachine-fr/cert-manager-alidns-webhook 来完成证书申请；

第一步、安装 Webhook 部分

# 添加仓库
helm repo add cert-manager-alidns-webhook https://devmachine-fr.github.io/cert-manager-alidns-webhook
helm repo update

# 网络原因，所以我们提前下载 helm chart 文件
helm pull cert-manager-alidns-webhook/alidns-webhook                            # alidns-webhook-0.6.1.tgz

# 导出并并修改相关变量
helm show values ./alidns-webhook-0.6.1.tgz > alidns-webhook-0.6.1.helm-values.yaml
...（1）修改 groupName 参数
...（3）修改 image.repository 参数（可选）；

# 部署 Webhook 组件
# 部署 Webhook 组件
helm upgrade --install                                     \
    --namespace cert-manager --create-namespace            \
    alidns-webhook ./alidns-webhook-0.6.1.tgz              \
    -f alidns-webhook-0.6.1.helm-values.yaml

第二步、创建 ClusterIssuer 资源

伴随着 apiVersion 的变化，资源的 YAML 结构也将发生变化，如下配置仅提供参考，建议参照 DEVmachine-fr/cert-manager-alidns-webhook 的配置示例：

# 完成 DNS 质询需要访问阿里云接口来修改 DNS 记录，所以需要使用 KEY 与 TOKEN 来认证

cat > alidns-secret.yaml <<EOF
apiVersion: v1
kind: Secret
metadata:
  name: alidns-secret
  namespace: cert-manager
stringData:
  access-token: your-token
  secret-key: your-secret-key
EOF

kubectl apply -f alidns-secret.yaml

# 创建 ClusterIssuer 资源

cat > letsencrypt-cluster-issuer.yaml <<EOF
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt
spec:
  acme:
    # 修改，邮箱地址
    email: contact@example.com
    # 修改，生产地址：https://acme-v02.api.letsencrypt.org/directory
    server: https://acme-staging-v02.api.letsencrypt.org/directory
    privateKeySecretRef:
      name: letsencrypt
    solvers:
    - dns01:
        webhook:
            # 修改，应用我们刚才创建的 Secret 资源
            config:
              accessTokenSecretRef:
                key: access-token
                name: alidns-secret
              regionId: cn-beijing
              secretKeySecretRef:
                key: secret-key
                name: alidns-secret
            # 修改，需要填写在安装时指定的 groupName 信息
            groupName: example.com
            solverName: alidns-solver
EOF

kubectl apply -f letsencrypt-cluster-issuer.yaml

第三步、申请 Ingress TLS 证书

# 在 Ingress 中，使用 HTTPS 证书：

# https://cert-manager.io/docs/usage/ingress/
cat > ingress-testing.yaml <<EOF
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    # 修改，指示要使用的 issuer 资源，由管理员提供（我们前面定义的 ClusterIssuer 使用 letsencrypt 名称）
    cert-manager.io/cluster-issuer: letsencrypt
  name: cert-manager-testing
  namespace: default
spec:
  ingressClassName: nginx
  tls:
  - hosts:
    # 修改，需要签发证书的域名
    - cert-manager-testing.example.com
    # 修改，保存证书的 Secret 资源（cert-manger 负责创建）
    secretName: cert-manager-testing-tls
  rules:
  - http:
      paths:
      - path: /testpath
        pathType: Prefix
        backend:
          service:
            name: test
            port:
              number: 80
EOF

kubectl apply -f ingress-testing.yaml

版本升级（1.7 ⇒ 1.8）

Error: rendered manifests contain a resource that already exists. Unable to continue with install: CustomResourceDefinition · Discussion #3483 · cert-manager/cert-manager

鉴于我们最开始是通过 cmctl 进行安装，所以升级过程分为两步：
1）下载并升级 CRD 资源；
2）升级 cert-manager 服务；

// ---------------------------------------------------------------------------- // 第一步、下载并升级 CRD 资源

wget https://github.com/cert-manager/cert-manager/releases/download/v1.8.2/cert-manager.crds.yaml
kubectl apply -f cert-manager.crds.yaml

// ---------------------------------------------------------------------------- // 第二步、升级 cert-manager 服务

helm repo add jetstack https://charts.jetstack.io
helm repo update

helm pull jetstack/cert-manager --version v1.8.2                                # cert-manager-v1.8.2.tgz

helm show values ./cert-manager-v1.8.2.tgz > cert-manager-v1.8.2.helm-values.yaml

helm --namespace cert-manager                                                  \
    upgrade cert-manager ./cert-manager-v1.8.2.tgz                             \
    -f cert-manager-v1.8.2.helm-values.yaml

// ---------------------------------------------------------------------------- // 第三步、创建 Ingress TLS 进行测试

...

参考文献

GitHub – DEVmachine-fr/cert-manager-alidns-webhook
Installation | cert-manager
cmctl | cert-manager
Securing Ingress Resources | cert-manager

Filed under: K4NZDROID - @ 6:30 PM