hearter/kube-webhook-certgen

kube-webhook-certgen 镜像文档

镜像概述

registry.k8s.io/ingress-nginx/kube-webhook-certgen 是 Kubernetes Ingress-NGINX 控制器生态的核心组件之一，专门用于生成和管理 admission webhook 所需的 TLS 证书。该镜像提供自动化的证书生成、签署和更新能力，确保 Ingress 控制器与 Kubernetes API Server 之间的 webhook 通信符合 TLS 安全标准。

核心功能与特性

• 自动证书生成：支持生成自签名 TLS 证书，用于加密 webhook 通信
• 证书管理：可自动更新证书并同步至 Kubernetes Secret 资源
• Kubernetes 集成：原生支持与 Kubernetes API 交互，直接操作 Secret 和 ConfigMap
• 轻量级设计：基于精简基础镜像，体积小，资源占用低
• 灵活配置：支持通过命令行参数或环境变量自定义证书参数（如有效期、Common Name 等）

使用场景

• Ingress-NGINX 控制器部署：在部署 Ingress-NGINX 控制器时，作为 init 容器或独立 Job 运行，为 admission webhook 生成初始证书
• 证书轮换：定期执行证书更新操作，避免证书过期导致 webhook 通信中断
• 多环境适配：适用于开发、测试和生产环境的 Ingress 控制器证书管理

使用方法与配置说明

基本命令格式

bash
docker run registry.k8s.io/ingress-nginx/kube-webhook-certgen:tag [command] [options]

主要命令

常用参数

Docker 运行示例

生成证书并保存到本地目录：

bash
docker run -v $(pwd)/certs:/etc/webhook/certs \
  registry.k8s.io/ingress-nginx/kube-webhook-certgen:v20231011-8b53cabe0 \
  generate \
  --certificate /etc/webhook/certs/cert.pem \
  --private-key /etc/webhook/certs/key.pem \
  --service ingress-nginx-controller-admission \
  --namespace ingress-nginx \
  --days 365

Kubernetes 部署示例（Job）

yaml
apiVersion: batch/v1
kind: Job
metadata:
  name: ingress-nginx-admission-create
  namespace: ingress-nginx
spec:
  template:
    spec:
      containers:
      - name: create
        image: registry.k8s.io/ingress-nginx/kube-webhook-certgen:v20231011-8b53cabe0
        args:
        - generate
        - --certificate=/etc/webhook/certs/cert.pem
        - --private-key=/etc/webhook/certs/key.pem
        - --service=ingress-nginx-controller-admission
        - --namespace=ingress-nginx
        - --secret-name=ingress-nginx-admission
        volumeMounts:
        - name: certs
          mountPath: /etc/webhook/certs
      volumes:
      - name: certs
        emptyDir: {}
      restartPolicy: OnFailure

注意事项

• 镜像标签应与 Ingress-NGINX 控制器版本保持一致，避免版本兼容性问题
• 生产环境建议配合证书轮换机制使用，定期更新证书
• 证书生成后需确保对应的 Secret 被正确挂载到 Ingress 控制器 Pod 中
• 自签名证书仅适用于集群内部通信，外部访问需使用可信 CA 签署的证书