exoscale/cert-manager-webhook-exoscale

cert-manager-exoscale-webhook 镜像文档

概述

cert-manager-exoscale-webhook是一个专为cert-manager设计的webhook组件，用于与Exoscale DNS服务集成，实现ACME DNS01验证流程。通过该镜像，用户可在Kubernetes集群中利用cert-manager自动管理SSL/TLS证书，借助Exoscale DNS服务完成域名所有权验证，实现证书的自动签发与续期。

核心功能

• Exoscale DNS集成：与Exoscale DNS API深度交互，支持自动创建和删除DNS01验证所需的TXT记录
• ACME DNS01验证：实现ACME协议的DNS01挑战处理逻辑，响应cert-manager的验证请求
• 安全认证：支持通过Exoscale API密钥进行身份验证，确保与Exoscale服务的安全通信
• 高兼容性：兼容cert-manager v1.0+版本，支持主流Kubernetes集群环境

使用场景

• Kubernetes集群证书管理：在使用cert-manager的Kubernetes集群中，需要通过Exoscale DNS进行域名验证以获取Let's Encrypt等ACME证书的场景
• 多域名证书自动化：需为多个域名自动签发和续期SSL/TLS证书，且域名DNS由Exoscale管理的场景
• 企业级证书部署：需要实现证书全生命周期自动化管理（签发、续期、吊销），减少手动操作的企业环境

使用方法

前提条件

• Kubernetes集群（v1.19+）
• cert-manager已安装（v1.0+）
• Exoscale账户及API密钥（需具备DNS管理权限）
• Helm（可选，用于简化部署）

部署步骤

1. 安装webhook组件

推荐使用Helm chart部署：

bash
helm repo add cert-manager-exoscale-webhook https://charts.example.com/cert-manager-exoscale-webhook
helm repo update
helm install cert-manager-exoscale-webhook cert-manager-exoscale-webhook/cert-manager-exoscale-webhook \
  --namespace cert-manager \
  --set exoscale.apiKey=EXO_SCALE_API_KEY \
  --set exoscale.apiSecret=EXO_SCALE_API_SECRET \
  --set groupName=acme.example.com

2. 配置ClusterIssuer/Issuer

创建ACME Issuer资源，指定webhook作为DNS01 solver：

yaml
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: exoscale-dns01-issuer
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    email: admin@example.com
    privateKeySecretRef:
      name: exoscale-issuer-account-key
    solvers:
    - dns01:
        webhook:
          groupName: acme.example.com
          solverName: exoscale
          config:
            apiEndpoint: https://api.exoscale.com/v1
            zone: example.com
            ttl: 300

3. 创建Certificate资源

申请证书示例：

yaml
apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: example-com-tls
  namespace: default
spec:
  secretName: example-com-tls
  dnsNames:
  - example.com
  - www.example.com
  issuerRef:
    name: exoscale-dns01-issuer
    kind: ClusterIssuer

配置参数

验证部署

检查webhook pod运行状态：

bash
kubectl get pods -n cert-manager -l app.kubernetes.io/name=cert-manager-exoscale-webhook

查看Certificate状态：

bash
kubectl get certificate example-com-tls -o yaml

注意事项

• Exoscale API密钥需具备DNS区域管理权限，确保能创建和删除TXT记录
• webhook组件与cert-manager的版本兼容性需匹配，避免因版本差异导致功能异常
• 网络环境需允许webhook pod访问Exoscale API端点（默认https://api.exoscale.com）
• 生产环境建议使用HTTPS加密webhook通信，可通过配置TLS证书实现