sdedu/kube-webhook-certgen

registry.k8s.io/ingress-nginx/kube-webhook-certgen 镜像文档

镜像概述

registry.k8s.io/ingress-nginx/kube-webhook-certgen是Ingress-NGINX项目官方提供的证书生成工具镜像，专门用于在Kubernetes集群中为Ingress-NGINX控制器的Webhook组件生成和管理TLS证书。该镜像旨在简化Webhook证书的创建流程，确保Ingress控制器与Kubernetes API Server之间的安全通信。

核心功能和特性

• 证书生成：自动生成符合TLS标准的证书对（私钥和公钥），用于Webhook服务器身份验证。
• 证书管理：支持证书的更新和轮换，确保证书有效期内的持续可用性。
• Kubernetes集成：生成的证书可直接用于配置Kubernetes的ValidatingWebhookConfiguration等资源。
• 轻量级设计：基于精简基础镜像，体积小，资源占用低，适合在容器化环境中运行。

使用场景和适用范围

• Ingress-NGINX控制器部署：在Kubernetes集群中部署或升级Ingress-NGINX控制器时，需为其Webhook组件配置TLS证书。
• Webhook安全通信：确保Ingress-NGINX控制器的Webhook（如请求验证、配置校验）与Kubernetes API Server之间的加密通信。
• 证书轮换维护：当现有Webhook证书即将过期时，用于生成新证书并更新相关Kubernetes资源。

使用方法和配置说明

基本使用方式

该镜像通常通过Kubernetes Job或初始化容器（Init Container）运行，以下是典型的使用流程：

1. 生成证书并保存到Secret

通过docker run命令本地测试（需挂载目录存储证书）：

bash
docker run --rm -v $(pwd)/certs:/certs \
  registry.k8s.io/ingress-nginx/kube-webhook-certgen:v1.4.0 \
  create \
  --host=ingress-nginx-controller-admission,ingress-nginx-controller-admission.default.svc \
  --namespace=default \
  --secret-name=ingress-nginx-admission

2. 在Kubernetes中使用（Job示例）

yaml
apiVersion: batch/v1
kind: Job
metadata:
  name: ingress-nginx-admission-create
  namespace: ingress-nginx
spec:
  template:
    spec:
      containers:
      - name: create
        image: registry.k8s.io/ingress-nginx/kube-webhook-certgen:v1.4.0
        args:
        - create
        - --host=ingress-nginx-controller-admission,ingress-nginx-controller-admission.ingress-nginx.svc
        - --namespace=ingress-nginx
        - --secret-name=ingress-nginx-admission
      restartPolicy: OnFailure

主要命令和参数

环境变量

该镜像通常通过命令行参数配置，无特殊环境变量依赖，所有配置通过命令行参数传递。

注意事项

• 需确保运行该镜像的Pod具有足够权限（如创建/更新Secret、Webhook配置的权限）。
• 证书有效期默认为365天，生产环境中建议定期通过patch命令轮换证书。
• 镜像版本应与Ingress-NGINX控制器版本匹配，避免兼容性问题。