ibotty/openshift-letsencrypt

项目说明（已停止维护）

该项目不再积极维护，建议使用替代项目：https://github.com/tnozicka/openshift-acme%EF%BC%88https://github.com/tnozicka/openshift-acme/issues/21%EF%BC%89

OpenShift路由自动证书管理

该服务会管理其部署所在项目/命名空间中带有（默认）butter.sh/letsencrypt-managed=yes标签的所有route资源。

限制

目前存在以下限制：

1. 仅支持长度小于64字符的域名；
2. 仅实现http-01类型验证（即“Well-Known”验证方式）；
3. 不支持单证书多域名（见Issue #1）；
4. 不会自动创建Let's Encrypt账户，需在部署前手动创建（见下文安装部分）；
5. 不支持跨命名空间使用（见Issue #4）。

自定义配置

可通过以下环境变量进行配置：

• LETSENCRYPT_ROUTE_SELECTOR（可选，默认butter.sh/letsencrypt-managed=yes）：筛选需要管理的路由；
• LETSENCRYPT_RENEW_BEFORE_DAYS（可选，默认30）：证书过期前多少天开始续期；
• LETSENCRYPT_CONTACT_EMAIL（账户生成必填）：ACME CA使用的联系***；
• LETSENCRYPT_CA（可选，默认https://acme-v01.api.letsencrypt.org/directory）：ACME证书颁发机构地址；
• LETSENCRYPT_KEYTYPE（可选，默认rsa）：密钥算法；
• LETSENCRYPT_KEYSIZE（可选，默认4096）：私钥位数（如适用）。

故障排除

路由未被处理

请检查DNS配置是否正确：获取证书的主机名必须指向路由器（或负载均衡器），且集群内部也能访问该主机名。

实现细节

密钥存储

ACME密钥存储在letsencrypt-creds密钥资源中。

容器组成

Pod包含三个容器，共享/var/www/acme-challenge文件系统存储验证挑战：

• Watcher容器（watcher）：监控路由变化，生成新证书或应用已生成的证书；
• Cron容器（cron）：定期检查证书是否需要续期（未来将迁移至Kubernetes CronJob）；
• Webserver容器（nginx）：提供.well-known/acme-challenge验证服务，基于DockerHub的ibotty/s2i-nginx镜像。

安装步骤

创建模板

按常规方式创建模板：

bash
oc create -f template.yaml

部署服务

实例化模板：

bash
oc new-app --template=letsencrypt -p LETSENCRYPT_CONTACT_EMAIL=name@example.com

配置服务账户

为“letsencrypt”服务账户授予管理密钥和路由的权限：

bash
oc policy add-role-to-user edit -z letsencrypt

创建Let's Encrypt凭据

注册账户密钥

若已有Let's Encrypt账户密钥，可跳过此步骤。
获取https://github.com/lukas2511/dehydrated%E5%B7%A5%E5%85%B7%EF%BC%8C%E6%89%A7%E8%A1%8C%E4%BB%A5%E4%B8%8B%E5%91%BD%E4%BB%A4%EF%BC%9A

shell
echo CONTACT_EMAIL=test@example.com > my_config
/path/to/dehydrated -f config --register --accept-terms

该命令会在./accounts/*/目录下生成account_key.pem（账户密钥）和registration_info.json（注册信息）。

创建密钥资源

使用账户密钥创建Secret：

bash
oc create secret generic letsencrypt-creds \
     --from-file=account-key=/path/to/account-key.pem \
     --from-file=registration-info=./accounts/*/registration_info.json

注：注册信息并非严格必需。

注意事项

HPKP（HTTP公钥固定）

需至少固定一个用于灾难恢复的密钥（集群外）。建议预生成n个密钥并全部固定，密钥轮换时删除旧密钥，使用剩余密钥中最旧的签署证书，再生成新密钥并固定新密钥。这样HPKP可在(n-1)*密钥有效期内保持有效（前提是无密钥泄露）。