fnape/kube-webhook-certgen

k8s.gcr.io/ingress-nginx/kube-webhook-certgen 镜像文档

镜像概述

该镜像为Kubernetes Ingress-NGINX控制器的配套组件，主要用于生成和管理Webhook所需的TLS证书。作为原k8s.gcr.io镜像的中国可访问镜像，解决了国内网络环境下的镜像拉取问题，确保Ingress控制器Webhook功能的正常配置与运行。

核心功能与特性

• 证书生成：自动生成Webhook通信所需的TLS证书及私钥
• 证书管理：支持证书存储到Kubernetes Secret中，便于集群内访问
• 兼容性：与Ingress-NGINX控制器无缝集成，满足Webhook配置需求
• 轻量级：镜像体积小，资源占用低，适合作为初始化Job运行

使用场景

• 部署Ingress-NGINX控制器时，为ValidatingWebhookConfiguration或MutatingWebhookConfiguration生成证书
• 证书过期前进行轮换更新，确保Webhook通信持续安全
• 在Kubernetes集群初始化阶段配置Webhook证书基础设施

使用方法与配置说明

Kubernetes环境部署示例

通常作为初始化Job在Ingress-NGINX控制器部署过程中运行：

yaml
apiVersion: batch/v1
kind: Job
metadata:
  name: ingress-nginx-admission-create
  namespace: ingress-nginx
spec:
  template:
    spec:
      containers:
      - name: create
        image: k8s.gcr.io/ingress-nginx/kube-webhook-certgen:v1.4.0 # 请使用实际版本号
        args:
        - create
        - --host=ingress-nginx-controller-admission,ingress-nginx-controller-admission.ingress-nginx.svc
        - --namespace=ingress-nginx
        - --secret-name=ingress-nginx-admission
      restartPolicy: OnFailure

常用命令参数说明

Docker本地运行示例

获取帮助信息：

bash
docker run --rm k8s.gcr.io/ingress-nginx/kube-webhook-certgen:latest --help

生成证书并保存到本地文件：

bash
docker run --rm -v $(pwd):/output k8s.gcr.io/ingress-nginx/kube-webhook-certgen:latest create \
  --host=webhook.example.com \
  --namespace=default \
  --secret-name=webhook-cert \
  --output-dir=/output

注意事项

• 建议使用与Ingress-NGINX控制器版本匹配的certgen镜像版本
• 证书有效期默认为1年，需定期轮换以确保安全性
• 在生产环境中，建议通过自动化工具（如Helm chart）管理证书生成与轮换过程