cert-manager

使用 cert-manager 进行 TLS 证书管理

本指南将向您展示如何安装 cert-manager 以进行 TLS 证书管理。本指南假设安装了新的或全新的 MinIO 运算符。

注意

本指南使用自签名Cluster Issuer。您也可以使用cert-manager 支持的其他颁发者。

主要区别在于，您必须将该Issuer CA 证书提供给 MinIO，而不是本指南中提到的 CA。

有关更高级的配置，请参阅cert-manager 文档和您自己组织的证书要求。

cert-manager 在 Kubernetes 集群中管理证书。MinIO 运算符支持使用 cert-manager 来管理和供应证书，作为 MinIO 运算符自行管理其自身及其租户证书的替代方案。

cert-manager 从Issuer 或ClusterIssuer 获取有效证书，并且可以在证书过期之前自动续订证书。

ClusterIssuer 为多个命名空间颁发证书。Issuer 仅为其自己的命名空间铸造证书。

下图显示了 cert-manager 如何在 Kubernetes 集群中的命名空间中提供证书。

以下命令使用kubectl 安装版本 1.12.13。

kubectl apply -f https://github.com/cert-manager/cert-manager/releases/download/v1.12.13/cert-manager.yaml

版本 1.12.X LTS 是首选，但您可以安装最新版本。有关安装 cert-manager 的更多详细信息，请参阅其安装说明。

Cluster Issuer 是集群中所有其他证书派生的顶级颁发者。

通过创建ClusterIssuer 资源来请求 cert-manager 生成此资源。

创建一个名为selfsigned-root-clusterissuer.yaml 的文件，内容如下

# selfsigned-root-clusterissuer.yaml
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: selfsigned-root
spec:
  selfSigned: {}

将资源应用于集群

kubectl apply -f selfsigned-root-clusterissuer.yaml