onedata/certificate-init-container

镜像概述

该Docker镜像旨在通过Kubernetes证书API为集群中的Pod提供TLS证书引导功能，帮助Pod自动获取、配置和管理TLS证书，以实现Pod间及Pod与外部服务的安全加密通信。

核心功能与特性

• Kubernetes证书API集成：深度整合Kubernetes原生证书API，支持通过CSR（Certificate Signing Request）流程申请证书
• 自动化证书引导：简化Pod部署流程，自动完成证书申请、签署和配置过程
• 证书生命周期管理：支持证书自动更新与轮换，确保证书有效性
• 轻量级设计：镜像体积小巧，资源占用低，适合在Kubernetes环境中高效运行

使用场景与适用范围

• Kubernetes集群中需要启用TLS加密通信的Pod部署
• 微服务架构下服务间的安全通信需求
• 需简化TLS证书配置流程的容器化应用
• 对证书自动化管理有需求的Kubernetes环境

使用方法与配置说明

基本使用示例

Docker Run命令（测试环境）

bash
docker run -d \
  --name tls-bootstrap \
  -e KUBERNETES_API_URL=https://kube-apiserver:6443 \
  -e POD_NAMESPACE=default \
  -e CERTIFICATE_DNS_NAMES=pod.example.com \
  your-image-name:latest

Kubernetes Pod部署示例

yaml
apiVersion: v1
kind: Pod
metadata:
  name: tls-bootstrap-pod
  namespace: default
spec:
  containers:
  - name: tls-bootstrap
    image: your-image-name:latest
    env:
    - name: KUBERNETES_API_URL
      value: "https://kube-apiserver:6443"
    - name: POD_NAMESPACE
      valueFrom:
        fieldRef:
          fieldPath: metadata.namespace
    - name: CERTIFICATE_DNS_NAMES
      value: "pod.example.com,localhost"
    volumeMounts:
    - name: tls-cert-volume
      mountPath: /etc/tls
  volumes:
  - name: tls-cert-volume
    emptyDir: {}

环境变量配置

输出说明

证书生成后将默认存储在容器内的/etc/tls目录下，包含以下文件：

• tls.crt：证书文件
• tls.key：私钥文件
• ca.crt：CA根证书文件

可通过挂载卷将这些文件共享给同一Pod内的其他容器使用。