lcwsre/adcs-issuer

ADCS Issuer 镜像说明

镜像概述

ADCS Issuer是cert-manager的外部证书签发器，用于与Microsoft Active Directory Certificate Services (ADCS)交互以签署证书。它通过HTTP客户端模拟ADCS GUI的证书请求流程，支持NTLM和HTTP Basic两种认证模式，适用于Kubernetes环境中的证书生命周期管理。

核心功能

• 支持NTLM（默认）和HTTP Basic两种认证模式，适配域加入和非域加入的Kubernetes集群（如AKS、EKS）。
• 通过cert-manager.io/cert-template注解指定ADCS证书模板，未指定时使用默认模板BasicSSLWebServer。
• 提供命名空间级（AdcsIssuer）和集群级（ClusterAdcsIssuer）两种签发器类型，满足多命名空间场景需求。
• 跟踪证书请求状态（Pending/Ready/Rejected/Errored），通过AdcsRequest CRD存储请求详情。
• 支持自动从Ingress资源生成证书请求。

使用场景

1. Kubernetes集群（包括AKS、EKS、本地集群）需要与ADCS集成管理证书。
2. 多命名空间环境下统一管理证书签发策略。
3. 通过Ingress资源自动生成并更新证书。

配置说明

认证模式

ADCS Issuer支持两种认证模式，通过签发器Spec中的authMode字段配置：

证书模板选择

通过证书资源的cert-manager.io/cert-template注解指定ADCS模板：

yaml
apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: my-cert
  annotations:
    cert-manager.io/cert-template: "WebServer"
spec:
  # ...（其他配置）

签发器配置

命名空间级签发器（AdcsIssuer）

yaml
apiVersion: adcs.certmanager.lcwsre.io/v1
kind: AdcsIssuer
metadata:
  name: test-adcs
  namespace: <namespace>
spec:
  caBundle: <base64编码的CA证书> # 可选，留空则使用系统CA池
  credentialsRef:
    name: test-adcs-issuer-credentials # 存储认证凭据的Secret名称
  statusCheckInterval: 6h # 请求状态检查间隔
  retryInterval: 1h # 错误重试间隔
  url: <ADCS服务URL> # 如https://adcs.example.com/certsrv
  authMode: basic # 或ntlm

集群级签发器（ClusterAdcsIssuer）

适用于多命名空间场景：

yaml
apiVersion: adcs.certmanager.lcwsre.io/v1
kind: ClusterAdcsIssuer
metadata:
  name: test-adcs
spec:
  caBundle: <base64编码的CA证书>
  credentialsRef:
    name: test-adcs-issuer-credentials # Secret需位于控制器Pod所在命名空间
  statusCheckInterval: 6h
  retryInterval: 1h
  url: <ADCS服务URL>
  authMode: basic

认证凭据Secret

需创建Opaque类型的Secret存储用户名和密码：

yaml
apiVersion: v1
data:
  password: cGFzc3dvcmQ= # base64编码的密码
  username: dXNlcm5hbWU= # base64编码的用户名
kind: Secret
metadata:
  name: test-adcs-issuer-credentials
  namespace: <namespace> # AdcsIssuer所在命名空间；ClusterAdcsIssuer则为控制器Pod所在命名空间
type: Opaque

证书请求示例

创建cert-manager Certificate资源，指定ADCS签发器：

yaml
apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  annotations:
    cert-manager.io/cert-template: "WebServer"
  name: adcs-cert
  namespace: <namespace>
spec:
  commonName: example.com
  dnsNames:
  - service1.example.com
  - service2.example.com
  issuerRef:
    group: adcs.certmanager.lcwsre.io
    kind: ClusterAdcsIssuer # 或AdcsIssuer
    name: test-adcs
  secretName: adcs-cert # 存储证书的Secret名称

Ingress自动证书请求

在Ingress资源中添加注解，自动生成证书：

yaml
metadata:
  name: test-ingress
  annotations:
    cert-manager.io/issuer: "test-adcs" # 签发器名称
    cert-manager.io/issuer-kind: "ClusterAdcsIssuer" # 或AdcsIssuer
    cert-manager.io/issuer-group: "adcs.certmanager.lcwsre.io"
    cert-manager.io/cert-template: "WebServer" # optional
spec:
  tls:
    - hosts:
        - test-host.com
      secretName: ingress-secret # 存储证书的Secret名称

安装方法

Helm安装（推荐）

bash
# 安装默认配置
helm install adcs-issuer charts/adcs-issuer -n adcs-issuer-system --create-namespace

# 自定义配置安装
helm install adcs-issuer charts/adcs-issuer -n adcs-issuer-system --create-namespace -f my-values.yaml

# 升级
helm upgrade adcs-issuer charts/adcs-issuer -n adcs-issuer-system -f my-values.yaml

Helm chart会创建控制器Deployment、RBAC权限、ServiceAccount、Webhook配置等资源。

手动安装（Kustomize）

使用kubebuilder生成的Makefile进行构建和安装：

bash
# 安装CRD
make install

# 运行控制器
make run

禁用审批检查（可选）

对于cert-manager v1.3之前的版本，可通过添加命令行参数禁用审批检查：

yaml
# 在控制器Deployment中添加参数
args:
  - -enable-approved-check=false

许可证

本项目采用BSD-3-Clause许可证，详情见https://github.com/lcwsre/adcs-issuer/blob/master/LICENSE%E3%80%82