jetstack/kube-lego

kube-lego

kube-lego 自动为 Kubernetes Ingress 资源从 Let's Encrypt 获取 SSL 证书，支持证书的自动更新与生命周期管理。

核心功能

• 识别证书需求场景：域名缺失证书、证书过期、证书无法解析
• 通过 HTTP-01 挑战为 Ingress 资源中的 TLS 对象获取证书，并存储到 Kubernetes Secret 中
• 创建 Let's Encrypt 用户账户（含私钥）并存储到 Kubernetes Secret（可通过 LEGO_SECRET_NAME 配置名称）
• 监控 Ingress 资源变化，重新评估证书状态
• 为 HTTP-01 挑战配置独立的 Ingress 端点（可通过 LEGO_INGRESS_NAME 配置名称）

使用场景

适用于 Kubernetes 集群中需要为 Ingress 资源配置 HTTPS 证书的场景，尤其适合希望自动管理证书获取、更新流程的用户，减少手动操作成本。

配置说明

环境变量

部署示例

1. 部署 kube-lego

创建 kube-lego-deployment.yaml 文件：

yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: kube-lego
  namespace: default
spec:
  replicas: 1
  selector:
    matchLabels:
      app: kube-lego
  template:
    metadata:
      labels:
        app: kube-lego
    spec:
      containers:
      - name: kube-lego
        image: jetstack/kube-lego
        env:
        - name: LEGO_EMAIL
          value: "your-email@example.com"  # 替换为你的邮箱
        - name: LEGO_URL
          value: "https://acme-v02.api.letsencrypt.org/directory"  # 生产环境地址
        - name: LEGO_NAMESPACE
          value: "default"
        ports:
        - containerPort: 8080

执行部署：

bash
kubectl apply -f kube-lego-deployment.yaml

2. 创建服务

创建 kube-lego-svc.yaml 文件：

yaml
apiVersion: v1
kind: Service
metadata:
  name: kube-lego
  namespace: default
spec:
  ports:
  - port: 80
    targetPort: 8080
  selector:
    app: kube-lego

执行创建：

bash
kubectl apply -f kube-lego-svc.yaml

3. 配置 Ingress 资源

在需要获取证书的 Ingress 资源中添加注解 kubernetes.io/tls-acme: "true"：

yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: example-ingress
  annotations:
    kubernetes.io/tls-acme: "true"
spec:
  tls:
  - secretName: example-tls
    hosts:
    - example.com
  rules:
  - host: example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: example-service
            port:
              number: 80

kube-lego 会自动为该 Ingress 资源获取并管理证书。