devonwarren/rotate-policy-webhook

cert-manager私钥轮换强制webhook

镜像概述

该镜像提供cert-manager的准入控制webhook组件，核心功能是在Kubernetes集群中拦截cert-manager证书资源（Certificate）的创建和更新请求，强制将rotatePrivateKey字段设置为always，确保证书私钥定期自动轮换，提升证书管理的安全性。

核心功能和特性

• 准入控制机制：通过Kubernetes ValidatingWebhook拦截Certificate资源的创建/更新操作
• 强制私钥轮换：自动将Certificate资源的rotatePrivateKey字段配置为always，覆盖用户设置
• cert-manager兼容：与cert-manager v1.0+版本完全兼容，支持标准Certificate资源
• 轻量级设计：基于Go语言开发，镜像体积小，资源占用低
• 安全增强：防止因私钥长期不轮换导致的安全风险，符合安全合规要求

使用场景和适用范围

• 使用cert-manager管理Kubernetes集群证书的环境
• 需强制实施私钥定期轮换策略的安全敏感场景（如***、***、***等行业）
• 需满足安全合规标准（如PCI DSS、HIPAA）的系统
• 希望自动保障证书私钥新鲜度的运维团队

使用方法和配置说明

前提条件

1. Kubernetes集群（v1.16+）
2. cert-manager已安装（v1.0+）
3. 集群已启用准入控制器（ValidatingAdmissionWebhook）

部署步骤

1. 创建命名空间（可选）

   bash
   kubectl create namespace cert-manager-webhook
   

2. 部署webhook服务
   通过Kubernetes Deployment部署webhook组件：

   yaml
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: rotate-private-key-webhook
     namespace: cert-manager-webhook
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: rotate-private-key-webhook
     template:
       metadata:
         labels:
           app: rotate-private-key-webhook
       spec:
         containers:
         - name: webhook
           image: [镜像名称]:[版本]
           ports:
           - containerPort: 443
           volumeMounts:
           - name: tls-cert
             mountPath: /etc/webhook/certs
             readOnly: true
           env:
           - name: WEBHOOK_PORT
             value: "443"
           - name: CERT_MANAGER_NAMESPACE
             value: "cert-manager"
         volumes:
         - name: tls-cert
           secret:
             secretName: webhook-tls
   

3. 创建服务

   yaml
   apiVersion: v1
   kind: Service
   metadata:
     name: rotate-private-key-webhook
     namespace: cert-manager-webhook
   spec:
     selector:
       app: rotate-private-key-webhook
     ports:
     - port: 443
       targetPort: 443
   

4. 配置ValidatingWebhookConfiguration

   yaml
   apiVersion: admissionregistration.k8s.io/v1
   kind: ValidatingWebhookConfiguration
   metadata:
     name: rotate-private-key-webhook
   webhooks:
   - name: rotate-private-key.cert-manager.io
     clientConfig:
       service:
         name: rotate-private-key-webhook
         namespace: cert-manager-webhook
         path: /validate-cert-manager-io-v1-certificate
       caBundle: [CA证书内容]
     rules:
     - apiGroups: ["cert-manager.io"]
       apiVersions: ["v1"]
       resources: ["certificates"]
       operations: ["CREATE", "UPDATE"]
     admissionReviewVersions: ["v1"]
     sideEffects: None
     timeoutSeconds: 5
   

Docker运行示例

（仅用于测试，生产环境建议通过Kubernetes部署）

bash
docker run -d \
  -p 443:443 \
  -v /path/to/tls/certs:/etc/webhook/certs \
  -e WEBHOOK_PORT=443 \
  -e CERT_MANAGER_NAMESPACE=cert-manager \
  [镜像名称]:[版本]

配置参数说明

环境变量

卷挂载

需挂载包含webhook TLS证书和私钥的Secret到容器中，用于HTTPS通信。