cnbugs/kube-webhook-certgen

kube-webhook-certgen:v1.1.1 镜像文档

概述

kube-webhook-certgen:v1.1.1是Ingress Nginx项目提供的证书生成工具镜像，专门用于为Kubernetes admission webhook生成和管理TLS证书。该工具确保Ingress Nginx控制器的webhook组件与Kubernetes API服务器之间的通信安全，是部署和维护Ingress Nginx控制器的关键组件之一。

核心功能与特性

• 证书生成：支持生成自签名TLS证书，用于加密webhook通信
• 证书管理：可将生成的证书存储到Kubernetes Secret中，便于其他组件访问
• CSR处理：支持生成和签署证书签名请求（CSR）
• 兼容性：与Ingress Nginx控制器v1.0+版本兼容，适配Kubernetes 1.19+环境
• 轻量级：基于Alpine Linux构建，镜像体积小，资源占用低

使用场景

• 部署Ingress Nginx控制器时，为admission webhook配置TLS证书
• 证书过期前更新webhook证书
• 替换受损或泄露的webhook证书
• 在Kubernetes集群中为自定义webhook生成安全通信证书

使用方法

基本使用（作为初始化容器）

在部署Ingress Nginx控制器时，通常将kube-webhook-certgen作为初始化容器运行，生成证书并存储到Secret中：

yaml
initContainers:
- name: generate-webhook-cert
  image: k8s.gcr.io/ingress-nginx/kube-webhook-certgen:v1.1.1
  args:
    - create
    - --host=ingress-nginx-controller-admission,ingress-nginx-controller-admission.$(POD_NAMESPACE).svc
    - --namespace=$(POD_NAMESPACE)
    - --secret-name=ingress-nginx-admission
  env:
    - name: POD_NAMESPACE
      valueFrom:
        fieldRef:
          fieldPath: metadata.namespace

证书更新

当需要更新证书时，可使用以下命令：

bash
kubectl run certgen --image=k8s.gcr.io/ingress-nginx/kube-webhook-certgen:v1.1.1 --rm -it -- \
  renew --namespace=ingress-nginx --secret-name=ingress-nginx-admission

命令参数说明

环境变量

注意事项

• 该镜像需在Kubernetes集群内运行，依赖集群内的API访问权限
• 生成的证书默认有效期为365天，生产环境建议根据安全策略调整
• 证书Secret需与webhook配置中的caBundle匹配，否则Kubernetes API服务器将拒绝通信
• 升级Ingress Nginx控制器时，建议同步更新该工具版本以确保兼容性