Подстановочный знак Давайте зашифруем сертификаты с помощью cert-manager, nginx ingress, cloudflare в kubernetes, как это исправить? - PullRequest
Новая
       19

Подстановочный знак Давайте зашифруем сертификаты с помощью cert-manager, nginx ingress, cloudflare в kubernetes, как это исправить?

3 голосов
/ 13 апреля 2019

У меня есть Cloudflare DNS для управления моим доменом.Я создал A-запись * .play.mydomain.com в Cloudflare.

В Куберне (GKE) я создал Issuer 

apiVersion: certmanager.k8s.io/v1alpha1
kind: Issuer
metadata:
  name: letsencrypt-prod-wildcard
  namespace: default
spec:
  acme:
    server: https://acme-staging-v02.api.letsencrypt.org/directory
    #server: https://acme-v02.api.letsencrypt.org/directory
    email: myemain@gmail.com

    # Name of a secret used to store the ACME account private key
    privateKeySecretRef:
      name: letsencrypt-prod-wildcard

    # ACME DNS-01 provider configurations
    dns01:

    challenges
      providers:
        - name: cf-dns
          cloudflare:
            email: myimail@gmail.com
            # A secretKeyRef to a cloudflare api key
            apiKeySecretRef:
              name: cloudflare-api-key
              key: api-key.txt

И создал секреты для cloudflare (cloudflare-api-ключ)

Также я создал подстановочный сертификат: 

apiVersion: certmanager.k8s.io/v1alpha1
kind: Certificate
metadata:
  name: wildcard-mydomain-com
  namespace: default
spec:
  secretName: wildcard-mydomain-com
  issuerRef:
    #name: letsencrypt-staging-wildcard
    name: letsencrypt-prod-wildcard
  commonName: '*.play.mydomain.com'
  dnsNames:
  - play.mydomain.com
  acme:
    config:
    - dns01:
        provider: cf-dns
      domains:
      - '*.play.mydomain.com'
      - play.mydomain.com

Сертификат успешно создан.

Status:
  Conditions:
    Last Transition Time:  2019-04-13T00:49:00Z
    Message:               Certificate is up to date and has not expired
    Reason:                Ready
    Status:                True
    Type:                  Ready
  Not After:               2019-07-11T23:48:57Z
Events:
  Type    Reason              Age   From          Message
  ----    ------              ----  ----          -------
  Normal  Generated           4m5s  cert-manager  Generated new private key
  Normal  GenerateSelfSigned  4m5s  cert-manager  Generated temporary self signed certificate
  Normal  OrderCreated        4m5s  cert-manager  Created Order resource "wildcard-mydomain-com-880037411"
  Normal  OrderComplete       84s   cert-manager  Order "wildcard-mydomain-com-880037411" completed successfully
  Normal  CertIssued          84s   cert-manager  Certificate issued successfully

Но в логах cert-manager я вижу ошибку: 

2019-04-13 04:49:00.078 GET
orders controller: Re-queuing item "default/wildcard-mydomain-com-880037411" due to error processing: challenges.certmanager.k8s.io "wildcard-mydomain-com-880037411-1" not found

Также у меня есть вход: 

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: ingress-mydomain-com
  annotations:
    kubernetes.io/ingress.class: nginx
    certmanager.k8s.io/issuer: letsencrypt-prod-wildcard
    certmanager.k8s.io/acme-challenge-type: "dns01"
    kubernetes.io/tls-acme: "true"

spec:
  tls:
  - secretName: letsencrypt-prod-secret-playground
    hosts:
      - '*.play.mydomain.com'

  rules:
  - host: '*.play.mydomain.com'
    http:
      paths:
      - backend:
          serviceName: playground
          servicePort: 83

И ошибка в логах (после запуска ingress): 

2019-04-13 04:51:17.225 GET
orders controller: Re-queuing item "default/letsencrypt-prod-secret-playground-2579012660" due to error processing: Error constructing Challenge resource for Authorization: ACME server does not allow selected challenge type or no provider is configured for domain "play.mydomain.com"

Как я могу использовать групповые сертификаты Let's Encrypt с помощью cert-manager, nginx ingress, cloudflare в kubernetes?

Я хотел бы получить доступ и запустить многосубдомены ([randomstring] .play.mydomain.com).

1 Ответ

1 голос
/ 13 апреля 2019

Похоже, в большинстве случаев правильное решение. Я вижу, что ключевое слово

  1. challenges кажется неуместным в Issuer.Возможно, это было специально для того, чтобы объяснить (?) 

    # ACME DNS-01 provider configurations
dns01:
  providers:
  - name: cf-dns
    cloudflare:
      email: myimail@gmail.com
      # A secretKeyRef to a cloudflare api key
      apiKeySecretRef:
        name: cloudflare-api-key
        key: api-key.txt

  2. Отсутствует строка kind: Issuer в пределах issuerRef в вашем определении Certificate, а dnsNames показывает play.mydomain.com вместо*.play.mydomain.com (что может быть проблемой) 

    apiVersion: certmanager.k8s.io/v1alpha1
kind: Certificate
metadata:
  name: wildcard-mydomain-com
  namespace: default
spec:
  secretName: wildcard-mydomain-com
  issuerRef:
    name: letsencrypt-prod-wildcard
    kind: Issuer
  commonName: '*.play.mydomain.com'
  dnsNames:
  - *.play.mydomain.com <== here
  acme:
    config:
    - dns01:
        provider: cf-dns
      domains:
      - '*.play.mydomain.com'
      - play.mydomain.com
...