oceanbase/cert-manager-controller

cert-manager-controller 镜像文档

镜像概述

本镜像为 quay.io/jetstack/cert-manager-controller 的镜像，包含 cert-manager 的控制器组件。cert-manager 是 Kubernetes 生态系统中广泛使用的 TLS 证书自动化管理工具，而控制器（controller）是其核心组件，负责协调证书的全生命周期管理流程，是实现证书自动化颁发、更新和维护的关键部分。

核心功能与特性

核心功能

• 证书颁发自动化：与各类证书颁发机构（CA）交互，如 Let's Encrypt、HashiCorp Vault、AWS ACM、GCP Certificate Manager 等，自动完成证书申请与颁发流程。
• 证书生命周期管理：监控已颁发证书的过期时间，在证书到期前自动触发更新流程，确保证书持续有效。
• 证书吊销处理：支持根据用户配置或外部事件（如密钥泄露）触发证书吊销请求，并同步清理相关资源。
• Kubernetes 资源集成：深度集成 Kubernetes 资源模型，可与 Ingress、Service、Secret 等资源联动，自动将证书注入到指定 Secret 中供应用使用。

主要特性

• 多 CA 支持：兼容主流开源及商业证书颁发机构，支持自定义 CA 配置。
• 高可用性：可通过多副本部署实现控制器高可用，确保证书管理流程不中断。
• 可观测性：提供详细日志输出和 Prometheus 指标，便于监控证书状态及控制器运行情况。
• 配置灵活性：通过自定义资源（CRD）如 Issuer、ClusterIssuer、Certificate 等灵活配置证书策略。

使用场景与适用范围

典型使用场景

• Ingress 资源 HTTPS 配置：为 Kubernetes Ingress 资源自动配置 TLS 证书，实现外部流量的 HTTPS 加密。
• 内部服务通信加密：管理服务间通信的 TLS 证书，确保集群内部服务调用的安全性。
• 自定义证书管理：为特定应用或组件颁发自定义 CA 签名的证书，满足内部合规或特殊加密需求。

适用范围

适用于所有运行 Kubernetes 集群、需要自动化管理 TLS 证书的环境，尤其适合以下场景：

• 集群规模较大，手动管理证书成本高、易出错的场景；
• 对证书有效期敏感，需确保证书零停机更新的生产环境；
• 依赖外部公共 CA（如 Let's Encrypt）或内部私有 CA 颁发证书的场景。

使用方法与配置说明

部署前提

• 已部署 Kubernetes 集群（版本需满足 cert-manager 最低要求，通常 ≥ v1.21）；
• 集群已安装 cert-manager 自定义资源定义（CRD），可通过官方安装脚本或 Helm Chart 完成。

部署方式

本镜像作为 cert-manager 控制器组件，通常通过 cert-manager 官方部署方案（如 Helm Chart）自动引用。部署时可指定本镜像作为控制器镜像源，示例如下：

通过 Helm 部署（指定镜像）

bash
helm install cert-manager jetstack/cert-manager \
  --namespace cert-manager \
  --create-namespace \
  --version v1.13.1 \  # 替换为实际使用的 cert-manager 版本
  --set controller.image.repository=镜像仓库地址/cert-manager-controller \  # 替换为当前镜像的仓库地址
  --set controller.image.tag=v1.13.1  # 替换为与 cert-manager 版本匹配的镜像标签

配置说明

控制器的核心配置通过 cert-manager 自定义资源（CRD）完成，主要包括：

1. 配置证书颁发机构（Issuer/ClusterIssuer）

通过 Issuer（命名空间级）或 ClusterIssuer（集群级）资源定义证书颁发机构信息，示例（Let's Encrypt 示例）：

yaml
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-prod
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    email: your-email@example.com
    privateKeySecretRef:
      name: letsencrypt-prod-account-key
    solvers:
      - http01:
          ingress:
            class: nginx

2. 请求证书（Certificate）

创建 Certificate 资源请求证书，控制器将自动与 Issuer 交互完成颁发：

yaml
apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: example-com
  namespace: default
spec:
  secretName: example-com-tls  # 证书将存储在该 Secret 中
  issuerRef:
    name: letsencrypt-prod
    kind: ClusterIssuer
  commonName: example.com
  dnsNames:
    - example.com
    - www.example.com

3. 控制器运行时配置

控制器的运行时参数（如日志级别、并发数等）可通过部署时的环境变量或命令行参数调整，常见配置包括：

• --log-level：日志级别（如 info、debug）；
• --max-concurrent-challenges：并发处理的 ACME 挑战数量；
• --leader-election-namespace：领导者选举命名空间（默认与控制器部署命名空间一致）。

注意事项

• 镜像标签应与 cert-manager 版本严格匹配，避免版本不兼容导致功能异常；
• 部署前需确保 Kubernetes 集群已启用 RBAC，控制器需具备足够权限操作相关资源；
• 证书颁发机构（Issuer）配置需确保网络可达（如 Let's Encrypt 需集群可访问互联网）。