puppet/tlser

tlser

镜像概述

tlser是一款轻量级工具，旨在确保Kubernetes环境中的TLS证书始终处于最新状态。它支持从预生成的CA证书/密钥对生成证书，可作为Kubernetes的initContainer使用，相比cert-manager更简单易用，同时提供完整的证书维护能力。

核心功能

1. 独立证书生成：通过预生成的CA证书/密钥对生成TLS证书，只需指定-subject参数即可快速开始。
2. Kubernetes证书维护：作为initContainer运行，检查指定secret是否存在、是否过期或参数匹配，必要时更新或创建secret。
3. 连续监控：通过-interval参数（如-interval 6h）持续监控证书状态，自动更新即将过期的证书。
4. 自定义参数：支持设置证书主题、DNS、IP、有效期、标签等参数，满足不同场景需求。

使用场景

1. Kubernetes应用部署：作为initContainer集成到Pod中，确保应用使用的证书始终有效。
2. 小型环境证书管理：独立使用生成证书，适用于测试或非生产环境。
3. 模板化配置：结合Helm或KOTS模板，统一管理证书配置。

配置说明

必要参数

• -name：必填，证书对应的secret名称。
• -cacert：CA证书路径。
• -cakey：CA密钥路径。
• -subject：证书主题（如example.com）。

可选参数

• -dns：证书包含的DNS名称（逗号分隔）。
• -ip：证书包含的IP地址（逗号分隔）。
• -expire：证书有效期（天，默认365）。
• -label：证书secret的标签（可多次指定）。
• -namespace：Kubernetes命名空间（默认使用Pod所在命名空间或default）。
• -interval：监控间隔（如6h，启用连续监控）。

部署示例

Kubernetes initContainer配置

yaml
initContainers:
- name: tlser
  image: puppet/tlser:1.3.0
  volumeMounts:
  - name: ca-volume
    mountPath: /cert
  args:
  - "-cacert"
  - "/cert/tls.crt"
  - "-cakey"
  - "/cert/tls.key"
  - "-name"
  - "app-tls"
  - "-subject"
  - "example.com"
  - "-dns"
  - "example.com,localhost,app"
  - "-ip"
  - "10.0.0.1"
  - "-expire"
  - "365"
  - "-label"
  - "app=myapp"
  - "-label"
  - "part-of=myapp"
volumes:
- name: ca-volume
  secret:
    secretName: ca-secret

独立运行示例

bash
docker run --rm -v /path/to/ca:/cert puppet/tlser:1.3.0 \
  -cacert /cert/tls.crt \
  -cakey /cert/tls.key \
  -name test-cert \
  -subject test.example.com \
  -dns test.example.com,localhost \
  -expire 180