cert-manager

使用 cert-manager 管理 TLS 证书

本指南将向您展示如何安装 cert-manager 以进行 TLS 证书管理。本指南假设 MinIO 运算符已全新安装或已安装最新版本。

注意

本指南使用自签名 Cluster Issuer。您也可以使用 cert-manager 支持的其他颁发者。

主要区别在于，您必须将该 Issuer CA 证书提供给 MinIO，而不是本指南中提到的 CA。

有关更高级的配置，请参阅 cert-manager 文档和您自己组织的证书要求。

cert-manager 在 Kubernetes 集群中管理证书。MinIO 运算符支持使用 cert-manager 来管理和配置证书，作为 MinIO 运算符自身及其租户管理证书的替代方案。

cert-manager 从 Issuer 或 ClusterIssuer 获取有效的证书，并且可以在证书过期之前自动续订证书。

ClusterIssuer 为多个命名空间颁发证书。Issuer 仅为其自身命名空间颁发证书。

下图描述了 cert-manager 如何在 Kubernetes 集群中的命名空间中提供证书。

以下命令使用 kubectl 安装版本 1.12.13。

kubectl apply -f https://github.com/cert-manager/cert-manager/releases/download/v1.12.13/cert-manager.yaml

版本 1.12.X LTS 是首选，但您可以安装最新版本。有关安装 cert-manager 的更多详细信息，请参阅其安装说明。

Cluster Issuer 是最高级别的颁发者，集群中的所有其他证书都源自它。

请求 cert-manager 通过创建 ClusterIssuer 资源来生成此证书。

创建一个名为 selfsigned-root-clusterissuer.yaml 的文件，内容如下所示

# selfsigned-root-clusterissuer.yaml
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: selfsigned-root
spec:
  selfSigned: {}

将资源应用到集群

kubectl apply -f selfsigned-root-clusterissuer.yaml

为 MinIO Operator 设置 cert-manager。