cilliandevops/kube-webhook-certgen

kube-webhook-certgen 镜像文档

镜像概述

该镜像同步自registry.k8s.io/ingress-nginx/kube-webhook-certgen，是Kubernetes Ingress-NGINX控制器的配套工具，主要用于生成和管理Webhook（如admission webhook）所需的TLS证书，确保Webhook通信的安全性。

核心功能和特性

• 证书生成：自动生成Webhook所需的TLS证书和私钥
• 证书管理：支持证书的更新与轮换，保障证书有效性
• K8s集成：与Kubernetes API集成，可将生成的证书存储到指定Secret中
• 轻量设计：镜像体积小，适合在Kubernetes环境中部署和运行

使用场景和适用范围

• 部署Kubernetes Ingress-NGINX控制器时配置admission webhook
• 需要为Kubernetes Webhook服务提供TLS证书的场景
• 自动化管理Webhook证书生命周期的场景

使用方法和配置说明

基本使用示例

通过Docker命令运行镜像生成证书：

bash
docker run --rm registry.k8s.io/ingress-nginx/kube-webhook-certgen:latest \
  --namespace ingress-nginx \
  --service ingress-nginx-admission \
  --secret ingress-nginx-admission-cert \
  --cert-name tls.crt \
  --key-name tls.key

主要参数说明

在Kubernetes中使用

通常通过Job资源在Kubernetes集群中运行，示例配置：

yaml
apiVersion: batch/v1
kind: Job
metadata:
  name: ingress-nginx-admission-create
  namespace: ingress-nginx
spec:
  template:
    spec:
      containers:
      - name: create
        image: registry.k8s.io/ingress-nginx/kube-webhook-certgen:latest
        args:
        - --namespace
        - ingress-nginx
        - --service
        - ingress-nginx-admission
        - --secret
        - ingress-nginx-admission-cert
      restartPolicy: OnFailure

注意事项

• 需确保运行该工具的Pod具有足够权限操作Kubernetes Secret资源
• 证书生成后需确保Webhook配置正确引用该Secret中的证书
• 建议定期运行以更新证书，避免证书过期导致Webhook失效