用于 Operator 的 cert-manager

先决条件

• 一个 受支持版本的 Kubernetes。

• kustomize 已安装

• kubectl 访问您的 k8s 集群

• 已完成 设置 cert-manager 的步骤

• 尚未安装 MinIO Operator。

1) 为 minio-operator 命名空间创建 CA 发行者

本指南**禁用** MinIO Operator 中证书的自动生成，并改为使用 cert-manager 颁发证书。

minio-operator 命名空间必须拥有自己的证书颁发机构 (CA)，该机构源自集群的 ClusterIssuer 证书（在 cert-manager 设置 期间创建）。使用 cert-manager 创建此 CA 证书。

1. 如果它不存在，请创建 minio-operator 命名空间

   kubectl create ns minio-operator
   

2. 使用指定的 spec.isCA: true 请求新证书。

   此证书用作 minio-operator 命名空间的CA。

   创建一个名为 operator-ca-tls-secret.yaml 的文件，内容如下

   # operator-ca-tls-secret.yaml
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: minio-operator-ca-certificate
     namespace: minio-operator
   spec:
     isCA: true
     commonName: operator
     secretName: operator-ca-tls
     duration: 70128h # 8y
     privateKey:
       algorithm: ECDSA
       size: 256
     issuerRef:
       name: selfsigned-root
       kind: ClusterIssuer
       group: cert-manager.io
   

   重要

   spec.issueRef.name 必须与 设置 cert-manager 时创建的 ClusterIssuer 的名称匹配。如果您指定了不同的 ClusterIssuer 名称或正在使用指南中不同的 Issuer，请修改 issuerRef 以匹配您的环境。

3. 应用资源

   kubectl apply -f operator-ca-tls-secret.yaml
   

Kubernetes 在 minio-operator 命名空间中创建了一个名为 operator-ca-tls 的新密钥。

2) 使用密钥创建 Issuer

使用 operator-ca-tls 密钥为 minio-operator 命名空间添加 Issuer 资源。

1. 创建一个名为 operator-ca-issuer.yaml 的文件，内容如下

   # operator-ca-issuer.yaml
   apiVersion: cert-manager.io/v1
   kind: Issuer
   metadata:
     name: minio-operator-ca-issuer
     namespace: minio-operator
   spec:
     ca:
       secretName: operator-ca-tls
   

2. 应用资源

   kubectl apply -f operator-ca-issuer.yaml
   

3) 创建 TLS 证书

现在 Issuer 已经存在于 minio-operator 命名空间中，cert-manager 可以添加证书。

来自 cert-manager 的证书必须对以下 DNS 域名有效：

• sts

• sts.minio-operator.svc.

• sts.minio-operator.svc.<cluster domain>

  重要

  将 <cluster domain> 替换为您的 MinIO 租户的实际值。 cluster domain 是 Kubernetes 集群中分配的内部根 DNS 域名。通常，它是 cluster.local，但请检查您的 CoreDNS 配置以确认 Kubernetes 集群的正确值。

  例如：

  kubectl get configmap coredns -n kube-system -o jsonpath="{.data}"
  

  不同的 Kubernetes 提供商以不同的方式管理根域名。请咨询您的 Kubernetes 提供商以获取更多信息。

1. 为指定的域名创建 Certificate

   创建一个名为 sts-tls-certificate.yaml 的文件，内容如下：

   # sts-tls-certificate.yaml
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: sts-certmanager-cert
     namespace: minio-operator
   spec:
     dnsNames:
       - sts
       - sts.minio-operator.svc
       - sts.minio-operator.svc.cluster.local # Replace cluster.local with the value for your domain.
     secretName: sts-tls
     issuerRef:
       name: minio-operator-ca-issuer
   

   重要

   spec.secretName 不是可选的。

   密钥名称**必须**是 sts-tls。请确认通过设置 spec.secretName: sts-tls，如证书 YAML 中突出显示的那样。

2. 应用资源

   kubectl apply -f sts-tls-certificate.yaml
   

这将在 minio-operator 命名空间中创建一个名为 sts-tls 的密钥。

4) 禁用自动 TLS 安装 Operator

您现在可以安装 MinIO Operator。

安装 Operator 部署时，在 minio-operator 容器中将 OPERATOR_STS_AUTO_TLS_ENABLED 环境变量设置为 off。

禁用此环境变量可以防止 MinIO Operator 发行证书。相反，Operator 依靠 cert-manager 来发行 TLS 证书。

根据您安装 Operator 的方式，定义环境变量的方法有很多种。以下步骤使用 kustomize 定义变量。

1. 创建一个名为 kustomization.yaml 的 kustomization 修补文件，内容如下：

   # minio-operator/kustomization.yaml
   apiVersion: kustomize.config.k8s.io/v1beta1
   kind: Kustomization
   
   resources:
   - github.com/minio/operator/resources
   
   patches:
   - patch: |-
       apiVersion: apps/v1
       kind: Deployment
       metadata:
         name: minio-operator
         namespace: minio-operator
       spec:
         template:
           spec:
             containers:
               - name: minio-operator
                 env:
                   - name: OPERATOR_STS_AUTO_TLS_ENABLED
                     value: "off"
                   - name: OPERATOR_STS_ENABLED
                     value: "on"
   

2. 将 kustomization 资源应用到集群。

   kubectl apply -k minio-operator
   

将现有 MinIO Operator 部署迁移到 cert-manager

要将现有的 MinIO Operator 部署从使用 AutoCert 转换为使用 cert-manager，请完成以下步骤：

1. 完成安装 cert-manager的步骤，包括禁用 auto-cert。

2. 完成此页面上的步骤 1-3 以生成 Operator 的证书颁发机构。

3. 当您进入此页面上的安装步骤时，请用 cert-manager 发行的证书替换现有的 Operator TLS 证书。

4. 为每个租户创建新的 cert-manager 证书，类似于租户的 cert-manager页面上描述的步骤。

5. 将 MinIO Operator 命名空间中租户的密钥替换为与每个租户的 cert-manager 发行的证书相关的密钥。

后续步骤

设置MinIO 租户的 cert-manager。