dbscale/kube-webhook-certgen

kube-webhook-certgen 镜像文档

镜像概述

该镜像克隆自 k8s.gcr.io/ingress-nginx/kube-webhook-certgen，是Kubernetes Ingress Nginx控制器的配套组件，主要用于生成和管理Webhook通信所需的TLS证书，确保Ingress控制器与Kubernetes API之间的安全通信。

核心功能与特性

• TLS证书生成：自动生成Webhook通信所需的TLS证书及私钥
• 证书管理：支持证书的创建、更新和轮换，确保证书有效性
• 与Ingress Nginx集成：专为Ingress Nginx控制器设计，提供无缝集成体验
• 轻量级：基于精简基础镜像，资源占用低，适合Kubernetes环境部署

使用场景

• Kubernetes集群中部署Ingress Nginx控制器时，为Webhook配置提供TLS证书
• 证书过期前自动轮换，保障Webhook通信持续安全
• 初始化Ingress Nginx控制器的证书环境

使用方法

基本使用

作为Ingress Nginx控制器的组件，通常通过Kubernetes Job或Deployment运行，以下为典型使用示例：

Docker Run示例

bash
docker run --rm \
  -v /path/to/cert/dir:/etc/webhook/certs \
  kube-webhook-certgen:latest \
  create \
  --host=ingress-nginx-controller-admission,ingress-nginx-controller-admission.default.svc \
  --namespace=default \
  --secret-name=ingress-nginx-admission

参数说明

Kubernetes部署示例

通常在Ingress Nginx控制器的部署清单中，通过Job初始化证书：

yaml
apiVersion: batch/v1
kind: Job
metadata:
  name: ingress-nginx-admission-create
  namespace: default
spec:
  template:
    spec:
      containers:
      - name: create
        image: kube-webhook-certgen:latest
        args:
        - create
        - --host=ingress-nginx-controller-admission,ingress-nginx-controller-admission.default.svc
        - --namespace=default
        - --secret-name=ingress-nginx-admission
      restartPolicy: OnFailure

注意事项

• 该镜像需与Ingress Nginx控制器版本匹配使用
• 证书生成后需确保对应的Secret被Ingress Nginx控制器正确引用
• 生产环境中建议定期轮换证书，可通过定时Job执行renew命令实现