yansenchangyu/kube-webhook-certgen

kube-webhook-certgen 镜像文档

概述

registry.k8s.io/ingress-nginx/kube-webhook-certgen是Kubernetes Ingress-NGINX项目的证书生成工具镜像，用于自动生成和管理TLS证书，支持Webhook配置，确保Ingress资源的安全通信。该镜像版本为v20221220-controller-v1.5.1-58-g787ea74b6，与Ingress-NGINX控制器v1.5.1版本兼容。

核心功能和特性

• 自动生成TLS证书，用于Kubernetes Webhook配置
• 支持证书轮换和更新
• 与Ingress-NGINX控制器无缝集成
• 轻量级设计，资源占用低
• 符合Kubernetes安全最佳实践

使用场景和适用范围

• Kubernetes集群中部署Ingress-NGINX控制器时的证书管理
• 需要为Webhook配置生成自签名证书的场景
• 自动化证书生成和更新流程
• 确保Ingress资源与后端服务之间的安全通信

使用方法和配置说明

基本使用

通常，该镜像作为Ingress-NGINX控制器部署的一部分自动使用，无需单独运行。在部署Ingress-NGINX控制器时，会自动创建Job来运行此镜像生成所需证书。

手动运行示例

bash
# 生成证书
docker run --rm \
  -v /path/to/output:/etc/webhook/certs \
  registry.k8s.io/ingress-nginx/kube-webhook-certgen:v20221220-controller-v1.5.1-58-g787ea74b6 \
  create --host=ingress-nginx-controller-admission,ingress-nginx-controller-admission.default.svc \
  --namespace=default \
  --secret-name=ingress-nginx-admission

# 检查证书
docker run --rm \
  registry.k8s.io/ingress-nginx/kube-webhook-certgen:v20221220-controller-v1.5.1-58-g787ea74b6 \
  check --host=ingress-nginx-controller-admission \
  --namespace=default \
  --secret-name=ingress-nginx-admission

Kubernetes部署示例

在Kubernetes中，通常通过Job资源使用此镜像：

yaml
apiVersion: batch/v1
kind: Job
metadata:
  name: ingress-nginx-admission-create
  namespace: ingress-nginx
spec:
  template:
    spec:
      containers:
      - name: create
        image: registry.k8s.io/ingress-nginx/kube-webhook-certgen:v20221220-controller-v1.5.1-58-g787ea74b6
        args:
        - create
        - --host=ingress-nginx-controller-admission,ingress-nginx-controller-admission.ingress-nginx.svc
        - --namespace=ingress-nginx
        - --secret-name=ingress-nginx-admission
      restartPolicy: OnFailure

命令参数说明

create 命令

用于生成新的证书：

• --host: 证书的主机名，多个主机名用逗号分隔
• --namespace: Kubernetes命名空间
• --secret-name: 存储证书的Secret名称
• --cert-name: 证书文件名，默认为tls.crt
• --key-name: 密钥文件名，默认为tls.key

check 命令

用于检查证书是否有效：

• --host: 要检查的主机名
• --namespace: Kubernetes命名空间
• --secret-name: 存储证书的Secret名称
• --cert-name: 证书文件名，默认为tls.crt

注意事项

• 此镜像应与Ingress-NGINX控制器v1.5.1版本一起使用
• 证书生成后会存储在Kubernetes Secret中，由Ingress-NGINX控制器自动使用
• 证书有效期默认为365天，建议定期更新
• 在生产环境中，考虑使用正式CA签发的证书而非自签名证书