xuqizhan/kube-webhook-certgen

kube-webhook-certgen 镜像文档

镜像概述

本镜像与 registry.k8s.io/ingress-nginx/kube-webhook-certgen:v20220916-gd32f8c343 功能完全一致，是用于Kubernetes环境中生成和管理Ingress-NGINX控制器Webhook证书的专用工具镜像。主要用于为Ingress-NGINX控制器的Webhook通信提供TLS证书支持，确保Webhook请求的安全传输。

核心功能与特性

• 证书生成：自动生成符合TLS标准的Webhook服务器证书及私钥
• 证书更新：支持证书过期前的自动更新机制
• Kubernetes集成：与Kubernetes API无缝集成，可将生成的证书存储至Secret资源
• 轻量级：基于精简基础镜像，体积小，资源占用低
• 安全合规：生成的证书符合Kubernetes Webhook通信的安全要求

使用场景

• Ingress-NGINX控制器部署过程中，为admission webhook生成初始证书
• 现有Webhook证书即将过期时，执行证书更新操作
• Kubernetes集群中需要为自定义Webhook服务生成合规证书的场景

使用方法与配置说明

基本使用方式

Docker运行示例

bash
docker run --rm \
  -v /path/to/output:/output \
  registry.k8s.io/ingress-nginx/kube-webhook-certgen:v20220916-gd32f8c343 \
  create \
  --host=ingress-nginx-controller-admission,ingress-nginx-controller-admission.default.svc \
  --namespace=default \
  --secret-name=ingress-nginx-admission

Kubernetes Job示例

yaml
apiVersion: batch/v1
kind: Job
metadata:
  name: generate-ingress-cert
  namespace: ingress-nginx
spec:
  template:
    spec:
      containers:
      - name: certgen
        image: registry.k8s.io/ingress-nginx/kube-webhook-certgen:v20220916-gd32f8c343
        args:
        - create
        - --host=ingress-nginx-controller-admission,ingress-nginx-controller-admission.ingress-nginx.svc
        - --namespace=ingress-nginx
        - --secret-name=ingress-nginx-admission
      restartPolicy: OnFailure

命令参数说明

环境变量配置

注意事项

• 运行时需确保容器具有访问Kubernetes API的权限（在K8s集群内运行时通常通过Service Account实现）
• 证书生成后需确保对应的Secret被Ingress-NGINX控制器正确引用
• 生产环境建议定期执行证书更新操作，避免证书过期导致Webhook功能失效