关于云计算:为-KubeSphere-集群启用免费的泛域名-SSL-证书并实现证书自动更新和分发

32次阅读

共计 10709 个字符，预计需要花费 27 分钟才能阅读完成。

作者：scwang18，次要负责技术架构，在容器云方向颇有钻研。

前言

KubeSphere 集群默认装置的证书是自签发证书，浏览器拜访拜访会收回平安揭示。本文记录了利用 let's encrytp 泛域名证书实现 Kubernetes 集群内部服务主动证书配置和证书到期自动更新，反对 HTTPS 拜访。咱们还部署了证书主动散发组件，实现证书文件主动散发到其余 namespace。

架构

在 KubeSphere 集群中应用 HTTPS 协定，须要一个证书管理器、一个证书主动签发服务

cert-manager 是一个云原生证书治理开源我的项目，用于在 KubeSphere 集群中提供 HTTPS 证书并主动续期，反对 Let’s Encrypt, HashiCorp Vault 这些收费证书的签发。在 KubeSphere 集群中，咱们能够通过 Kubernetes Ingress 和 Let’s Encrypt 实现内部服务的自动化 HTTPS。

Issuers/ClusterIssuers：定义应用什么证书颁发机构 (CA) 来去颁发证书，Issuers 和 ClusterIssuers 区别是：issuers 是一个名称空间级别的资源，只能用来签发本人所在 namespace 下的证书，ClusterIssuer 是个集群级别的资源 能够签发任意 namespace 下的证书

Certificate：定义所需的 X.509 证书，该证书将更新并放弃最新。Certificate 是一个命名空间资源，当 Certificate 被创立时，它会去创立相应的 CertificateRequest 资源来去申请证书。

装置证书管理器

装置证书管理器比较简单，间接执行以下脚本就能够了。

$ kubectl create ns cert-manager
$ helm uninstall cert-manager -n cert-manager

$ helm install cert-manager jetstack/cert-manager \
  -n cert-manager \
  --version v1.8.0 \
  --set installCRDs=true \
  --set prometheus.enabled=false \
  --set 'extraArgs={--dns01-recursive-nameservers-only,--dns01-recursive-nameservers=119.29.29.29:53\,8.8.8.8:53}'

抉择证书颁发者

cert-manager 反对以下几种证书颁发者：

  • SelfSigned
  • CA
  • Vault
  • Venafi
  • External
  • ACME

咱们抉择应用 ACME 来颁发证书。

抉择证书校验形式

罕用的校验形式有 HTTP-01、DNS-01。

DNS-01 校验原理

DNS-01 的校验原理是利用 DNS 提供商的 API Key 拿到 DNS 管制权限，在 Let’s Encrypt 为 ACME 客户端提供令牌后，ACME 客户端 (cert-manager) 将创立从该令牌和我的帐户密钥派生的 TXT 记录，并将该记录放在 _acme-challenge。而后 Let’s Encrypt 将向 DNS 零碎查问该记录，如果找到匹配项，就能够颁发证书。此办法反对泛域名证书。

HTTP-01 校验原理

HTTP-01 的校验原理是给域名指向的 HTTP 服务减少一个长期 location，Let’s Encrypt 会发送 HTTP 申请到 http:///.well-known/acme-challenge/，参数中 YOUR_DOMAIN 就是被校验的域名，TOKEN 是 ACME 协定的客户端负责搁置的文件，ACME 客户端就是 cert-manager，它通过批改或创立 Ingress 规定来减少这个长期校验门路并指向提供 TOKEN 的服务。Let’s Encrypt 会比照 TOKEN 是否合乎预期，校验胜利后就会颁发证书。此办法仅实用于给应用 Ingress 裸露流量的服务颁发证书，不反对泛域名证书。

优劣比照

HTTP-01 的校验形式的长处是: 配置简略通用，不论应用哪个 DNS 提供商都能够应用雷同的配置办法；毛病是：须要依赖 Ingress，如果服务不是通过 Ingress 裸露的就不实用，而且不反对泛域名证书。

DNS-01 的校验形式的长处是没有 HTTP-01 校验形式毛病，不依赖 Ingress，也反对泛域名；毛病就是不同 DNS 提供商的配置形式不一样，而且只有 cert-manager 反对的 DNS 提供商才能够抉择这种形式。

Cert-manager 反对应用内部 webhook 的接入 DNS 提供商，正好公司应用腾讯云的 DNSPOD 属于反对的行列。咱们能够抉择 DNS-01。

HTTP-01 配置示例

这个配置示例仅供参考，应用这种形式，有多少的 Ingress 服务，就须要申请多少张证书，比拟麻烦，然而配置较为简单，不依赖 DNS 服务商。

1. 创立 CA 群集证书颁发者

证书管理器须要 Issuer 或 ClusterIssuer 资源，能力颁发证书。这两种 Kubernetes 资源的性能完全相同，区别在于 Issuer 实用于繁多命名空间，而 ClusterIssuer 实用于所有命名空间。

# ClusterIssuer.yaml

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt
spec:
  acme:
    email: scwang18@xxx.xxx
    server: https://acme-v02.api.letsencrypt.org/directory
    privateKeySecretRef:
      name: issuer-account-key
    solvers:
    - http01:
        ingress:
          class: nginx

阐明：

  • metadata.name: 是咱们创立的签发机构的名称，前面咱们创立证书的时候会援用它；
  • spec.acme.email: 是你本人的邮箱，证书快过期的时候会有邮件揭示，不过 cert-manager 会利用 acme 协定主动给咱们从新颁发证书来续期；
  • spec.acme.server: 是 acme 协定的服务端，咱们应用 Let’s Encrypt；
  • spec.acme.privateKeySecretRef: 批示此签发机构的私钥将要存储到哪个 Secret 对象中；
  • spec.acme.solvers: 这里批示签发机构校验形式，有 http01 和 dns01 两种，该字段下配置的 class 和 name 只能同时存在一个，class 指定应用的 Ingress class 名称，name 比拟少用，通常用于 Kubernetes 的 Ingress。
$ kubectl apply -f ClusterIssuer.yaml -n cert-manager

执行胜利后，会将申请的证书文件搁置在 issuer-account-key 这个 Secret 中。

查看证书是否主动创立胜利：

$ kubectl -n infra  get certificate

2. 在 Ingress 中应用上步申请到的 SSL 证书

# ingreess-wikijs.yaml

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    cert-manager.io/cluster-issuer: letsencrypt
    nginx.ingress.kubernetes.io/proxy-body-size: "0"
  name: ingress-wikijs
spec:
  ingressClassName: nginx
  rules:
  - host: wiki.xxx.xxx
    http:
      paths:
      - backend:
          service:
            name: wikijs
            port:
              number: 3000
        path: /
        pathType: Prefix
  tls: 
  - hosts:
    - wikijs.xxx.xxx
    secretName: ingress-wikijs-tls

留神：在 annotations 里 设置 cert-manager.io/cluster-issuer 为签名创立的集群证书颁发者 letsencrypt。

应用 yaml 文件创建 ingress 后，就能够应用该 Ingress 对外提供 HTTPS 服务了。

# 执行创立 ingress
kubectl apply -f ingress-wikijs.yaml -n infra

DNS01 配置示例

应用这种形式须要 DNS 服务商反对通过 API 创立 DNS 记录，正好我的 DNS 服务商是腾讯云 dnspod 反对，因而在咱们的及群里，最终采纳了这种形式。

这个形式的配置会比拟麻烦，踩了很久的坑，次要是因为我的集群启用了本地 DNS 服务器，默认 cert-manager 会通过本地 DNS 服务器去验证通过 API 创立的 DNS txt 记录，会始终查看不到新增的 txt 记录，造成在 challenge 阶段就始终 pendding。解决方案附后。

1. 在 dnspod 创立 API ID 和 API Token

参考腾讯云官网文档 (https://support.dnspod.cn/Kb/…)
记录下创立的 API ID 和 API Token (加码解决，须要自行获取本人的 API ID 和 API Token)。

AKIDVt3z4uVss11xjIdmddgMmHXXssssHp9D2buxrWR8
SekbG2gqdflQs5xxxviGagX8TYO

2. 装置 cert-manager-webhook-dnspod

应用 helm 装置 roc/cert-manager-webhook-dnspod。

$ helm repo add roc https://charts.imroc.cc

$ helm uninstall cert-manager-webhook-dnspod -n cert-manager
$ helm install cert-manager-webhook-dnspod roc/cert-manager-webhook-dnspod \
    -n cert-manager \
    --set clusterIssuer.secretId=AKIDVt3z4uVss11xjIdmddgMmHXXssssHp9D2buxrWR8 \
    --set clusterIssuer.secretKey=SekbG2gqdflQs5xxxviGagX8TYO \
    --set clusterIssuer.email=xxx@xxx.xxx

3. 创立泛域名证书

# ipincloud-crt.yaml

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: ipincloud-crt
spec:
  secretName: ipincloud-crt
  issuerRef:
    name: dnspod
    kind: ClusterIssuer
    group: cert-manager.io
  dnsNames:
  - "*.xxx.xxx"

创立集群证书颁发者：

$ kubectl apply -f ipincloud-crt.yaml -n infra

4. 验证证书

查看证书是否创立胜利：

$ kubectl get Certificate -n cert-manager
NAME                                      READY   SECRET                                    AGE
cert-manager-webhook-dnspod-ca            True    cert-manager-webhook-dnspod-ca            18m
cert-manager-webhook-dnspod-webhook-tls   True    cert-manager-webhook-dnspod-webhook-tls   18m
ipincloud-crt                             True    ipincloud-crt                             3m12s

以上能够看出 ipincloud-crt 曾经创立胜利，READY 状态也是 True。

查看证书对应的域名：

$ kubectl describe Certificate ipincloud-crt -n cert-manager
Name:         ipincloud-crt
Namespace:    cert-manager
Labels:       <none>
Annotations:  <none>
API Version:  cert-manager.io/v1
Kind:         Certificate
Metadata:
  Creation Timestamp:  2022-05-07T14:19:07Z
  ...
Spec:
  Dns Names:
    *.xxx.xxx
  Issuer Ref:
    Group:      cert-manager.io
    Kind:       ClusterIssuer
    Name:       dnspod
  Secret Name:  ipincloud-crt
Status:
  Conditions:
    Last Transition Time:  2022-05-07T14:19:14Z
    Message:               Certificate is up to date and has not expired
    Observed Generation:   1
    Reason:                Ready
    Status:                True
    Type:                  Ready
  Not After:               2022-08-05T13:19:11Z
  Not Before:              2022-05-07T13:19:12Z
  Renewal Time:            2022-07-06T13:19:11Z
  Revision:                1
Events:
  Type    Reason     Age    From                                       Message
  ----    ------     ----   ----                                       -------
  Normal  Issuing    4m35s  cert-manager-certificates-trigger          Issuing certificate as Secret does not exist
  Normal  Generated  4m35s  cert-manager-certificates-key-manager      Stored new private key in temporary Secret resource "ipincloud-crt-4ml59"
  Normal  Requested  4m35s  cert-manager-certificates-request-manager  Created new CertificateRequest resource "ipincloud-crt-r76wp"
  Normal  Issuing    4m28s  cert-manager-certificates-issuing          The certificate has been successfully issued

从 Certificate 的形容信息能够看到，这个证书是对应所有 *.xxx.xxx 的泛域名。

查看证书内容：

$ kubectl describe secret ipincloud-crt -n cert-manager
Name:         ipincloud-crt
Namespace:    cert-manager
Labels:       <none>
Annotations:  cert-manager.io/alt-names: *.xxx.xxx
              cert-manager.io/certificate-name: ipincloud-crt
              cert-manager.io/common-name: *.xxx.xxx
              cert-manager.io/ip-sans: 
              cert-manager.io/issuer-group: cert-manager.io
              cert-manager.io/issuer-kind: ClusterIssuer
              cert-manager.io/issuer-name: dnspod
              cert-manager.io/uri-sans: 

Type:  kubernetes.io/tls

Data
====
tls.crt:  5587 bytes
tls.key:  1675 bytes

TLS 证书保留在 cert-manager 命名空间里的 ipincloud-crt secret。能够供所有 `*.xxx.xxx 的服务应用。

其余

这个过程中，遇到最大的坑是：我的集群应用了自建的 DNS 服务器，默认 cert-manager 会应用这个集群的自建 DNS SERVER 进行证书发行的验证，尽管通过调用 dnspod 的 webook 在 腾讯云 DNS 服务器上创立的 _acme-challenge 握手数据，然而在我的自建 DNS 里是查不到的，所以会始终卡 pending 状态。

$ kubectl get challenge -A
NAMESPACE      NAME                                       STATE     DOMAIN         AGE
cert-manager   ipincloud-crt-f9kp6-381578565-136350475    pending   xxx.xxx   24s

查看起因是：

Waiting for DNS-01 challenge propagation: DNS record for "xxx.xxx" not yet

$ kubectl -n cert-manager describe challenge ipincloud-crt-f9kp6-381578565-136350475
Name:         ipincloud-crt-f9kp6-381578565-136350475
Namespace:    cert-manager
Labels:       <none>
Annotations:  <none>
API Version:  acme.cert-manager.io/v1
Kind:         Challenge
---
两头略
---
Status:
  Presented:   true
  Processing:  true
  Reason:      Waiting for DNS-01 challenge propagation: DNS record for "xxx.xxx" not yet propagated
  State:       pending
Events:
  Type    Reason     Age   From                     Message
  ----    ------     ----  ----                     -------
  Normal  Started    41s   cert-manager-challenges  Challenge scheduled for processing
  Normal  Presented  39s   cert-manager-challenges  Presented challenge using DNS-01 challenge mechanism

查了很多材料，在官网上找到解决方案。方法是让 cert-manager 强制应用指定的 DNS 服务器进行握手验证。

我是用的是 helm 装置 cert-manager，所以增加一下 set 参数。

--set 'extraArgs={--dns01-recursive-nameservers-only,--dns01-recursive-nameservers=119.29.29.29:53\,8.8.8.8:53}'

参考文档：https://cert-manager.io/docs/…

配置证书复制到其余 namespace

装置 kubed

$ helm repo add appscode https://charts.appscode.com/stable/
$ helm repo update
$ helm install kubed appscode/kubed \
  --version v0.13.2 \
  --namespace cert-manager

批改 Certificated 文件

为 certificated 对象设置 secretTemplate, 设置须要同步到哪些 namespace。

# ipincloud-crt.yaml

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: ipincloud-crt
spec:
  secretName: ipincloud-crt
  issuerRef:
    name: dnspod
    kind: ClusterIssuer
    group: cert-manager.io
  dnsNames:
  - "*.xxx.xxx"
  secretTemplate:
    annotations:
      kubed.appscode.com/sync: "cert-manager-tls=ipincloud-crt"

给须要同步的指标 namespace 打 label

上一步的 secretTemplate 里指定了同步的指标 namespace 的 label 过滤条件 cert-manager-tls=ipincloud-crt，因而，咱们须要对接管同步 secret 的 namespace 打上相应的 label。

$ kubectl label ns default cert-manager-tls=ipincloud-crt
$ kubectl label ns app cert-manager-tls=ipincloud-crt
$ kubectl label ns dev-app cert-manager-tls=ipincloud-crt
$ kubectl label ns dev-infra cert-manager-tls=ipincloud-crt
$ kubectl label ns dev-wly cert-manager-tls=ipincloud-crt
$ kubectl label ns infra cert-manager-tls=ipincloud-crt
$ kubectl label ns istio-system cert-manager-tls=ipincloud-crt
$ kubectl label ns uat-app cert-manager-tls=ipincloud-crt
$ kubectl label ns uat-wly cert-manager-tls=ipincloud-crt
$ kubectl label ns wly cert-manager-tls=ipincloud-crt
$ kubectl label ns kubesphere-controls-system cert-manager-tls=ipincloud-crt

查看是否复制胜利

查看指标 namespace 是否复制 secret 胜利。

$ kubectl get secret ipincloud-crt
NAME            TYPE                DATA   AGE
ipincloud-crt   kubernetes.io/tls   2      18m

查看复制的 secret，能够看到 label 信息中记录了证书起源信息。

$ kubectl describe secret ipincloud-crt
Name:         ipincloud-crt
Namespace:    default
Labels:       kubed.appscode.com/origin.cluster=unicorn
              kubed.appscode.com/origin.name=ipincloud-crt
              kubed.appscode.com/origin.namespace=cert-manager
Annotations:  cert-manager.io/alt-names: *.xxx.xxx
              cert-manager.io/certificate-name: ipincloud-crt
              cert-manager.io/common-name: *.xxx.xxx
              cert-manager.io/ip-sans: 
              cert-manager.io/issuer-group: cert-manager.io
              cert-manager.io/issuer-kind: ClusterIssuer
              cert-manager.io/issuer-name: dnspod
              cert-manager.io/uri-sans: 
              kubed.appscode.com/origin:
                {"namespace":"cert-manager","name":"ipincloud-crt","uid":"b4713633-731e-4151-844f-0f6d9cf6352c","resourceVersion":"12531075"}

Type:  kubernetes.io/tls

Data
====
tls.crt:  5587 bytes
tls.key:  1675 bytes

应用 TLS 证书配置 Ingress

设置 Ingress

kind: Ingress
apiVersion: networking.k8s.io/v1
metadata:
  name: wikijs
  namespace: infra
  annotations:
    nginx.ingress.kubernetes.io/proxy-body-size: '0'
spec:
  ingressClassName: nginx
  tls:
    - hosts:
        - wiki.xxx.xxx
      secretName: ipincloud-crt
  rules:
    - host: wiki.xxx.xxx
      http:
        paths:
          - path: /
            pathType: ImplementationSpecific
            backend:
              service:
                name: wikijs
                port:
                  number: 3000

测试

以上配置实现后，就能够应用 HTTPS 来拜访新的 wiki.js 服务了。

$ curl -I https://wiki.xxx.xxx
HTTP/1.1 302 Found
Date: Sat, 07 May 2022 14:52:39 GMT
Content-Type: text/plain; charset=utf-8
Content-Length: 28
Connection: keep-alive
X-Frame-Options: deny
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
X-UA-Compatible: IE=edge
Referrer-Policy: same-origin
Content-Language: zh
Set-Cookie: loginRedirect=%2F; Max-Age=900; Path=/; Expires=Sat, 07 May 2022 15:07:39 GMT
Location: /login
Vary: Accept, Accept-Encoding
Strict-Transport-Security: max-age=15724800; includeSubDomains

如上所示，就是胜利启动了 HTTPS。

参考

  • https://artifacthub.io/packag…
  • https://www.1nth.com/post/k8s…

  • https://cert-manager.io/docs/…

    本文由博客一文多发平台 OpenWrite 公布！

正文完
云计算
发表至： 云计算
2022-07-19
 0
关于云计算:浪潮云说直播间第十期将于今晚1930准时开播
关于云计算:在-Kubernetes-中基于-StatefulSet-部署-MySQL下
关于云计算:企业应如何看待云锁定
关于云计算:华为云开天-aPaaS-平台的流使用体验