oceanbase/cert-manager-webhook

cert-manager-webhook 镜像文档

镜像概述

本镜像为quay.io/jetstack/cert-manager-webhook的镜像，用于扩展cert-manager的功能。cert-manager是Kubernetes集群中的证书管理工具，而webhook组件作为其扩展机制，允许集成外部证书颁发机构（CA）或实现自定义证书签发逻辑，以满足多样化的证书管理需求。

主要用途

作为cert-manager的核心扩展组件，本镜像的主要用途包括：

• 扩展cert-manager的证书签发能力
• 支持与外部CA服务集成
• 实现自定义证书签发流程和验证逻辑
• 满足特定业务场景下的证书管理需求

核心功能与特性

• cert-manager扩展组件：遵循cert-manager的webhook接口规范，无缝集成至cert-manager生态
• 外部CA集成：支持对接第三方证书颁发机构，扩展cert-manager的CA支持范围
• 自定义签发逻辑：允许用户实现自定义证书签发、验证或续期流程
• 标准化接口：符合Kubernetes API和cert-manager webhook接口标准，确保兼容性和稳定性

使用场景与适用范围

本镜像适用于以下场景：

• Kubernetes集群中需自定义证书签发流程的场景
• 集成非标准CA服务（如企业内部CA、私有CA）
• 需要扩展cert-manager功能以满足特定安全策略（如证书格式、有效期自定义）
• cert-manager用户需实现证书请求的自定义验证或处理逻辑

使用方法与配置说明

前置条件

• Kubernetes集群（版本需满足cert-manager要求）
• 已部署cert-manager（建议使用官方推荐版本）
• 集群网络需允许webhook组件与cert-manager控制平面通信

部署方式

通常需通过Kubernetes资源清单部署，示例Deployment配置片段：

yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: cert-manager-webhook
  namespace: cert-manager
spec:
  replicas: 1
  selector:
    matchLabels:
      app: cert-manager-webhook
  template:
    metadata:
      labels:
        app: cert-manager-webhook
    spec:
      containers:
      - name: webhook
        image: [本镜像地址]
        ports:
        - containerPort: 443
        volumeMounts:
        - name: webhook-tls
          mountPath: /tls
          readOnly: true
        args:
        - --tls-cert-file=/tls/tls.crt
        - --tls-private-key-file=/tls/tls.key
      volumes:
      - name: webhook-tls
        secret:
          secretName: cert-manager-webhook-tls

配置说明

部署时需重点配置以下内容：

1. TLS证书：webhook需使用TLS加密通信，需通过Secret挂载服务器证书和私钥（通常由cert-manager自身或集群CA签发）
2. 服务暴露：通过Service将webhook组件暴露给cert-manager，示例Service配置：

   yaml
   apiVersion: v1
   kind: Service
   metadata:
     name: cert-manager-webhook
     namespace: cert-manager
   spec:
     selector:
       app: cert-manager-webhook
     ports:
     - port: 443
       targetPort: 443
   

3. Issuer/ClusterIssuer配置：在cert-manager的Issuer或ClusterIssuer资源中指定webhook URL及参数，示例：

   yaml
   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: custom-ca-issuer
   spec:
     webhook:
       groupName: example.com
       solver:
         webhook:
           config:
             apiVersion: webhook.example.com/v1alpha1
             kind: WebhookConfiguration
             url: https://cert-manager-webhook.cert-manager.svc:443/solve
   

注意事项

• 需确保webhook组件与cert-manager版本兼容，建议使用与cert-manager匹配的webhook版本
• 自定义逻辑需通过实现cert-manager webhook接口开发，本镜像为基础运行时，具体业务逻辑需通过配置或自定义代码实现
• 部署前参考cert-manager官方文档中关于webhook的配置指南，确保符合安全最佳实践

参考资料

• cert-manager官方文档
• cert-manager-webhook开发指南