slicen/cert-manager-webhook-linode

Cert-Manager ACME DNS01 Webhook解析器（适用于Linode DNS Manager）

镜像概述和主要用途

该镜像提供一个Webhook组件，使https://github.com/jetstack/cert-manager%E8%83%BD%E5%A4%9F%E4%BD%BF%E7%94%A8Linode DNS Manager作为ACME DNS01验证的解析器。通过此Webhook，cert-manager可自动完成DNS01挑战验证，实现SSL/TLS证书的自动化签发与续期。

核心功能和特性

• 与Linode DNS Manager深度集成，支持DNS01验证流程
• 支持两种API令牌管理模式：集群级共享令牌和命名空间级独立令牌
• 兼容cert-manager v1及以上版本
• 轻量级设计，易于部署和维护

使用场景和适用范围

• 使用Linode DNS服务的Kubernetes集群环境
• 需要自动化SSL/TLS证书管理的应用
• 多租户Kubernetes集群，需为不同命名空间配置独立Linode API令牌的场景
• 采用ACME协议（如Let's Encrypt）签发证书的需求

安装方法

Helm安装

bash
helm install cert-manager-webhook-linode \
  --namespace cert-manager \
  https://github.com/slicen/cert-manager-webhook-linode/releases/download/v0.2.0/cert-manager-webhook-linode-v0.2.0.tgz

使用方法

创建Linode API令牌Secret

首先创建存储Linode API令牌的Kubernetes Secret：

bash
kubectl create secret generic linode-credentials \
  --namespace=cert-manager \
  --from-literal=token=<LINODE TOKEN>

注意：将<LINODE TOKEN>替换为实际的Linode API令牌，该令牌需具备DNS管理权限。

创建Issuer/ClusterIssuer

集群级Linode API令牌（共享模式）

创建集群范围的ClusterIssuer，使用cert-manager命名空间中的共享Linode API令牌：

yaml
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-staging
spec:
  acme:
    server: https://acme-staging-v02.api.letsencrypt.org/directory
    email: example@example.com  # 替换为您的邮箱
    privateKeySecretRef:
      name: letsencrypt-staging
    solvers:
    - dns01:
        webhook:
          solverName: linode
          groupName: acme.slicen.me

默认情况下，Webhook将从其部署命名空间（cert-manager）中的linode-credentials Secret获取Linode API令牌。

命名空间级Linode API令牌（独立模式）

在多租户环境中，可为每个命名空间配置独立的Linode API令牌：

yaml
apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
  name: letsencrypt-staging
  namespace: default  # 目标命名空间
spec:
  acme:
    server: https://acme-staging-v02.api.letsencrypt.org/directory
    email: example@example.com  # 替换为您的邮箱
    privateKeySecretRef:
      name: letsencrypt-staging
    solvers:
    - dns01:
        webhook:
          solverName: linode
          groupName: acme.slicen.me
          config:
            apiKeySecretRef:
              name: linode-credentials  # 该命名空间中的Secret名称
              key: token  # Secret中存储令牌的键名

开发与测试

运行测试套件

测试套件通过kubebuilder-tools模拟Kubernetes环境，并结合真实Linode API调用验证功能。测试会创建TXT记录、验证其存在性并清理，以验证Prepare和CleanUp函数。

运行测试步骤：

1. 获取测试工具：

bash
./scripts/fetch-test-binaries.sh

2. 准备测试环境：

bash
export LINODE_TOKEN=$(echo -n "<your API token>" | base64 -w 0)
envsubst < testdata/linode/secret.yaml.example > testdata/linode/secret.yaml

3. 执行测试：

bash
TEST_ZONE_NAME=yourdomain.com. make verify

注意：将<your API token>替换为有效的Linode API令牌，yourdomain.com.替换为您控制的测试域名（需以点结尾）。