Keyfactor Command Issuer for cert-manager 镜像文档

镜像概述与主要用途

Keyfactor Command Issuer for cert-manager 是 cert-manager 的外部签发器组件，用于将 cert-manager 与 Keyfactor Command 管理的证书颁发机构（CA）集成。通过该镜像，用户可在 Kubernetes 集群中利用 cert-manager 向 Keyfactor Command 管理的 CA 申请证书，实现 Kubernetes 应用证书生命周期的集中化管理。

cert-manager 是 Kubernetes 原生的证书管理控制器，支持从多种 CA 获取证书，并自动确保证书有效性、在到期前自动续期。本镜像扩展了 cert-manager 的功能，使其能够与 Keyfactor Command 平台无缝对接，满足企业级证书管理需求。

核心功能与特性

核心功能

• Keyfactor Command 集成：作为 cert-manager 的外部签发器，支持通过 Keyfactor Command 管理的 CA 签发证书。
• 证书生命周期管理：依托 cert-manager 的原生能力，自动监控证书有效性，在配置的到期前时间点触发续期流程。
• Kubernetes 原生支持：以容器化方式部署于 Kubernetes 集群，支持通过 CustomResourceDefinition（CRD）配置签发规则（Issuer/ClusterIssuer）。

特性

• 自动化运维：减少手动证书申请与续期操作，降低证书过期风险。
• 企业级 CA 对接：整合 Keyfactor Command 的 CA 管理能力，满足合规性与安全性要求。
• 灵活配置：支持通过 Helm 图表自定义部署参数，适配不同环境需求。

使用场景与适用范围

适用场景

• Kubernetes 集群中，需通过 Keyfactor Command 管理的 CA 为应用颁发 X.509 证书的场景。
• 需实现证书自动化申请、续期及吊销，确保应用证书持续有效的场景。
• 企业级环境中，要求证书管理符合内部安全策略与合规标准的场景。

适用人群

• Kubernetes 集群管理员、安全运维人员。
• 需要对 Kubernetes 应用证书进行集中化管理的安全团队。

部署与安装

该镜像通过 Helm 图表部署于 Kubernetes 集群，以下为详细步骤：

前提条件

• Kubernetes 集群（版本需兼容 cert-manager 运行要求，通常 ≥v1.21）。
• 已安装 cert-manager（参考 cert-manager 官方安装文档）。
• Helm 3.x 客户端。

安装步骤

1. 添加 Helm 仓库

helm repo add command-issuer [***]
helm repo update  # 更新仓库索引，确保获取最新图表版本

2. 部署镜像

通过 Helm 安装 chart，指定必要配置参数：

helm install command-cert-manager-issuer command-issuer/command-cert-manager-issuer \
  --namespace command-issuer-system \  # 目标命名空间
  --create-namespace \                  # 自动创建命名空间（若不存在）
  --set image.repository=keyfactor/command-cert-manager-issuer \  # 镜像仓库地址
  --set image.tag=latest \              # 镜像标签（建议指定具体版本，如 v0.1.0，而非 latest）
  --set crd.create=true                 # 自动创建所需 CRD（Issuer/ClusterIssuer 等）

部署参数说明

配置与使用

基本配置流程

1. 创建 Issuer/ClusterIssuer 资源：定义与 Keyfactor Command 的连接信息（如 URL、认证凭据）、证书模板等。
2. 创建 Certificate 资源：向 cert-manager 请求证书，指定使用上述 Issuer/ClusterIssuer。

详细配置说明

配置参数（如 Keyfactor Command 的 API 地址、认证方式、证书模板 ID、Subject DN 格式等）需通过 Issuer/ClusterIssuer 资源定义。完整配置项及示例请参考 GitHub 官方文档。

社区支持

本项目为开源组件，由社区支持，不提供服务等级协议（SLA）。欢迎通过 GitHub 提交 issue 或贡献代码：
GitHub 仓库