phraide/cert-manager-webhook-gandi

Gandi ACME Webhook（cert-manager-webhook-gandi）

cert-manager-webhook-gandi是cert-manager的ACME webhook，支持通过Gandi的LiveDNS API完成ACME（如Let's Encrypt）的DNS-01挑战，从而为Kubernetes集群中的非HTTP服务颁发证书，或获取通配符证书。

核心功能

• 实现ACME DNS-01挑战，支持Let's Encrypt证书自动颁发与续期
• 集成Gandi LiveDNS API，自动管理域名TXT记录
• 支持通配符证书申请，满足多子域名场景需求
• 与cert-manager和Kubernetes深度兼容，适配容器化环境

使用场景

• Kubernetes集群中需要为非HTTP服务（如TCP/UDP服务）配置HTTPS证书
• 需为域名申请通配符证书以覆盖所有子域名的场景
• 希望自动化证书生命周期管理（颁发、续期、吊销）的企业或开发者

配置说明

前提条件

• 已部署Kubernetes集群
• 已安装Helm包管理工具
• 拥有Gandi账号及有效API密钥
• 域名已使用Gandi LiveDNS服务

部署步骤

1. 安装cert-manager

bash
kubectl create namespace cert-manager
kubectl apply --validate=false -f https://raw.githubusercontent.com/jetstack/cert-manager/v0.13.1/deploy/manifests/00-crds.yaml
helm repo add jetstack https://charts.jetstack.io
helm install cert-manager --namespace cert-manager \
  --set 'extraArgs={--dns01-recursive-nameservers=8.8.8.8:53\,1.1.1.1:53}' \
  jetstack/cert-manager

2. 创建Gandi API密钥Secret

bash
kubectl create secret generic gandi-credentials \
  --from-literal=api-token='<你的Gandi API密钥>'

3. 部署webhook

使用本地构建镜像（需先执行make build）：

bash
helm install cert-manager-webhook-gandi \
  --namespace cert-manager \
  --set image.repository=cert-manager-webhook-gandi \
  --set image.tag=latest \
  --set logLevel=2 \
  ./deploy/cert-manager-webhook-gandi

或使用Docker Hub镜像：

bash
helm install cert-manager-webhook-gandi \
  --namespace cert-manager \
  --set image.tag=v0.1.1 \
  --set logLevel=2 \
  ./deploy/cert-manager-webhook-gandi

4. 创建Let's Encrypt Issuer

bash
email="your-email@example.com"
cat << EOF | sed "s/invalid@example.com/$email/" | kubectl apply -f -
apiVersion: cert-manager.io/v1alpha2
kind: Issuer
metadata:
  name: letsencrypt-staging
  namespace: default
spec:
  acme:
    server: https://acme-staging-v02.api.letsencrypt.org/directory
    email: invalid@example.com
    privateKeySecretRef:
      name: letsencrypt-staging
    solvers:
    - dns01:
        webhook:
          groupName: acme.bwolf.me
          solverName: gandi
          config:
            apiKeySecretRef:
              key: api-token
              name: gandi-credentials
EOF

5. 申请证书

普通证书

bash
DOMAIN="example.com"
cat << EOF | sed "s/example-com/$DOMAIN/" | kubectl apply -f -
apiVersion: cert-manager.io/v1alpha2
kind: Certificate
metadata:
  name: example-com
spec:
  dnsNames:
  - $DOMAIN
  issuerRef:
    name: letsencrypt-staging
  secretName: example-com-tls
EOF

通配符证书

bash
DOMAIN="example.com"
cat << EOF | sed "s/example-com/$DOMAIN/" | kubectl apply -f -
apiVersion: cert-manager.io/v1alpha2
kind: Certificate
metadata:
  name: wildcard-example-com
spec:
  dnsNames:
  - '*.example.com'
  issuerRef:
    name: letsencrypt-staging
  secretName: wildcard-example-com-tls
EOF

验证证书状态

bash
# 查看Issuer状态
kubectl describe issuer letsencrypt-staging
# 查看Certificate状态
kubectl describe certificate example-com
# 查看证书详情
kubectl get secret example-com-tls -o yaml