jettech/kube-webhook-certgen

Kubernetes Webhook证书生成与修补工具

概述

该工具用于生成CA和叶子证书（有效期100年），并通过设置caBundle字段将生成的CA集成到Kubernetes准入Webhook中。还可选择修补Webhook的failurePolicy设置，适用于单个Helm chart同时部署资源和Webhook并进行修补的场景。工具分为两部分，优化适配Helm部署流程，可作为Kubernetes Job通过预安装和后安装钩子执行。

核心功能与特性

• 证书生成：创建CA和服务器证书及密钥，存储于Kubernetes Secret中
• Webhook修补：更新验证和变异Webhook配置的caBundle字段
• 策略调整：可选修补Webhook的failurePolicy（支持"Ignore"或"Fail"）
• Helm集成：优化支持Helm预安装和后安装钩子执行流程

安全考虑

本工具可能不适用于所有安全环境。如需更完整的证书管理解决方案，建议考虑https://github.com/jetstack/cert-manager%E7%AD%89%E6%9B%BF%E4%BB%A3%E6%96%B9%E6%A1%88%E3%80%82

使用场景

• 快速部署Kubernetes准入Webhook时的证书配置
• Helm chart部署过程中，作为Job执行Webhook证书生成与配置修补
• 需要简化Webhook CA证书管理的场景

命令行选项

基本用法

kube-webhook-certgen [flags]
kube-webhook-certgen [command]

可用命令

• create: 生成CA和服务器证书及密钥，并存储到指定命名空间的Secret中
• patch: 使用指定Secret中的CA修补验证和变异Webhook配置
• help: 查看命令帮助
• version: 打印CLI版本信息

全局标志

  -h, --help                帮助信息
      --kubeconfig string   kubeconfig文件路径（例如：~/.kube/kind-config-kind）
      --log-format string   日志格式：text|json（默认"text"）
      --log-level string    日志级别：panic|fatal|error|warn|info|debug|trace（默认"info"）

create命令

生成CA和服务器证书及密钥，并存储到指定命名空间的Secret中。

用法：

kube-webhook-certgen create [flags]

标志：

      --cert-name string     Secret中证书文件的名称（默认"cert"）
  -h, --help                 create命令帮助
      --host string          生成证书的主机名和IP，以逗号分隔
      --key-name string      Secret中密钥文件的名称（默认"key"）
      --namespace string     存储证书信息的Secret所在命名空间
      --secret-name string   存储证书信息的Secret名称

patch命令

使用指定Secret中的CA修补验证和变异Webhook配置。

用法：

kube-webhook-certgen patch [flags]

标志：

  -h, --help                          patch命令帮助
      --namespace string              读取证书信息的Secret所在命名空间
      --patch-failure-policy string   若设置，用指定策略修补Webhook（有效值：Ignore或Fail）
      --patch-mutating                是否修补mutatingwebhookconfiguration（默认true）
      --patch-validating              是否修补validatingwebhookconfiguration（默认true）
      --secret-name string            读取证书信息的Secret名称
      --webhook-name string           要更新的验证和变异Webhook配置名称

部署示例

作为Kubernetes Job运行（示例）

yaml
apiVersion: batch/v1
kind: Job
metadata:
  name: webhook-certgen
spec:
  template:
    spec:
      containers:
      - name: certgen
        image: jettech/kube-webhook-certgen:latest
        command: ["kube-webhook-certgen", "create"]
        args:
        - --namespace=default
        - --secret-name=webhook-tls
        - --host=webhook-service.default.svc
      restartPolicy: OnFailure

修补Webhook配置（示例）

bash
docker run --rm -v ~/.kube/config:/kubeconfig jettech/kube-webhook-certgen:latest \
  patch --kubeconfig=/kubeconfig \
  --namespace=default \
  --secret-name=webhook-tls \
  --webhook-name=my-webhook \
  --patch-failure-policy=Fail

已知用户

• https://github.com/helm/charts/tree/master/stable/prometheus-operator Helm chart