acmestack/kube-webhook-certgen

kube-webhook-certgen 镜像文档

镜像概述

该镜像同步自 k8s.gcr.io/ingress-nginx/kube-webhook-certgen，是Kubernetes Ingress-NGINX控制器的配套工具，主要用于生成和管理Webhook通信所需的TLS证书，确保Ingress-NGINX控制器与Kubernetes API Server之间的Webhook通信安全。

核心功能与特性

• 证书生成：自动生成符合Kubernetes Webhook要求的TLS证书，包括私钥和公钥。
• 证书更新：支持证书过期前自动更新，避免因证书失效导致Webhook通信中断。
• Kubernetes集成：生成的证书可直接用于配置Ingress-NGINX控制器的Webhook，与Kubernetes Secret资源兼容。
• 轻量级：镜像体积小，运行依赖少，适合在Kubernetes环境中作为初始化容器或独立Job运行。

使用场景

• 部署或升级Ingress-NGINX控制器时，为Webhook配置生成所需TLS证书。
• 定期更新Webhook证书，确保长期运行环境中通信安全。
• 在Kubernetes集群中自动化管理Webhook证书生命周期。

使用方法

基本使用（Docker run）

bash
docker run --rm \
  -v /path/to/output:/etc/webhook/certs \
  k8s.gcr.io/ingress-nginx/kube-webhook-certgen:latest \
  generate \
  --host=ingress-nginx-controller-admission,ingress-nginx-controller-admission.default.svc \
  --namespace=default \
  --secret-name=ingress-nginx-admission

Kubernetes Job示例

yaml
apiVersion: batch/v1
kind: Job
metadata:
  name: generate-ingress-webhook-cert
  namespace: ingress-nginx
spec:
  template:
    spec:
      containers:
      - name: certgen
        image: k8s.gcr.io/ingress-nginx/kube-webhook-certgen:latest
        args:
        - generate
        - --host=ingress-nginx-controller-admission,ingress-nginx-controller-admission.ingress-nginx.svc
        - --namespace=ingress-nginx
        - --secret-name=ingress-nginx-admission
        volumeMounts:
        - name: certs
          mountPath: /etc/webhook/certs
      volumes:
      - name: certs
        emptyDir: {}
      restartPolicy: OnFailure

命令参数说明

环境变量

无特殊环境变量，主要通过命令行参数配置。

注意事项

• 生成的证书需存储在Kubernetes Secret中，并确保Ingress-NGINX控制器配置正确引用该Secret。
• 证书有效期默认91天，建议定期通过Job执行更新操作，避免证书过期。
• 主机名参数需包含Webhook服务的ClusterIP域名和Service域名，确保Kubernetes API Server可正确解析。