AI 助理
备案控制台
开发者社区 云原生 文章 正文

Cert Manager 申请 SSL 证书流程及相关概念 - 一

2024-02-05 313
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： Cert Manager 申请 SSL 证书流程及相关概念 - 一

2022.3.9 用 cert-manager 申请成功通配符证书 (*.ewhisper.cn), 2022.4.30 该证书距离过期还有 30 天，cert-manager 进行自动续期，但是却失败了。😱😱😱

然后过了几天，在 2022.5.8, 最终成功了。如下图：

续期成功的 ewhisper.cn 通配符证书

正好借着这个情况捋一下 cert-manager 的 SSL 证书申请流程以及过程中涉及到的相关概念。

中英文对照表

英文 英文 - K8S CRD 中文 备注
certificates Certificate 证书 certificates.cert-manager.io/v1
certificate issuers Issuer 证书颁发者 issuers.cert-manager.io
ClusterIssuer 集群证书颁发者 clusterissuers.cert-manager.io
certificate request CertificateRequest 证书申请 certificaterequests.cert-manager.io
order Order （证书）订单 orders.acme.cert-manager.io
challenge Challenge （证书）挑战 challenges.acme.cert-manager.io
SelfSigned 自签名 cert-manager Issuer 的一种
CA 证书颁发机构 Certificate Authority 的缩写；
cert-manager Issuer 的一种
Vault 金库 cert-manager Issuer 的一种，即 Hashicorp Vault
Venafi Venafi 在线证书办理服务，目前用的不多。
External 外部 cert-manager Issuer 的一种
ACME 自动证书管理环境 Automated Certificate Management Environment 的缩写；
cert-manager Issuer, 包括 HTTP01 和 DNS01

Cert Manager 简介

cert-manager 在 Kubernetes 集群中添加了证书 (certificates) 和证书颁发者 (certificate issuers) 作为资源类型，并简化了获取、更新和使用这些证书的过程。

它可以从各种支持的来源签发证书，包括 Let’s Encrypt、HashiCorp Vault 和 Venafi 以及私人 PKI。

📝Notes:

常用的主流来源是：Let’s Encrypt

它将确保证书是有效的和最新的，并试图在到期前的一个配置时间内更新证书。

image.png

解释 cert-manager 架构的高层次概览图

Issuer（证书颁发者）

在安装了 cert-manager 之后，需要配置的第一件事是一个证书颁发者，然后你可以用它来签发证书。

cert-manager 带有一些内置的证书颁发者，它们被表示为在 cert-manager.io 组中。除了内置类型外，你还可以安装外部证书颁发者。内置和外部证书颁发者的待遇是一样的，配置也类似。

有以下几种证书颁发者类型：

  • 自签名 (SelfSigned)
  • CA（证书颁发机构）
  • Hashicorp Vault（金库）
  • Venafi (SaaS 服务）
  • External（外部）
  • ACME（自动证书管理环境）
  • HTTP01
  • DNS01

这里先不做详细介绍，目前我的环境有的证书颁发者示例如下：

SelfSigned

如下：

apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
  annotations:
    meta.helm.sh/release-name: cert-manager-webhook-dnspod
    meta.helm.sh/release-namespace: cert-manager
  labels:
    app: cert-manager-webhook-dnspod
    app.kubernetes.io/managed-by: Helm
    chart: cert-manager-webhook-dnspod-1.2.0
    heritage: Helm
    release: cert-manager-webhook-dnspod
  name: cert-manager-webhook-dnspod-selfsign
  namespace: cert-manager
status:
  conditions:
    - lastTransitionTime: '2022-03-01T13:38:53Z'
      observedGeneration: 1
      reason: IsReady
      status: 'True'
      type: Ready
spec:
  selfSigned: {}
YAML

ACME - HTTP01

如下：

apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
  annotations:
    meta.helm.sh/release-name: rancher
    meta.helm.sh/release-namespace: cattle-system
  generation: 2
  labels:
    app: rancher
    app.kubernetes.io/managed-by: Helm
    chart: rancher-2.6.4
    heritage: Helm
    release: rancher
  name: rancher
  namespace: cattle-system
status:
  acme: {}
  conditions:
    - lastTransitionTime: '2022-03-08T14:34:08Z'
      message: The ACME account was registered with the ACME server
      observedGeneration: 2
      reason: ACMEAccountRegistered
      status: 'True'
      type: Ready
spec:
  acme:
    preferredChain: ''
    privateKeySecretRef:
      name: letsencrypt-production
    server: https://acme-v02.api.letsencrypt.org/directory
    solvers:
      - http01:
          ingress: {}
YAML

ACME - DNS01

如下：

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  annotations:
    meta.helm.sh/release-name: cert-manager-webhook-dnspod
    meta.helm.sh/release-namespace: cert-manager
  labels:
    app: cert-manager-webhook-dnspod
    app.kubernetes.io/managed-by: Helm
    chart: cert-manager-webhook-dnspod-1.2.0
    heritage: Helm
    release: cert-manager-webhook-dnspod
status:
  acme:
    lastRegisteredEmail: cuikaidong@foxmail.com
    uri: https://acme-v02.api.letsencrypt.org/acme/acct/431637010
  conditions:
    - lastTransitionTime: '2022-03-01T13:38:55Z'
      message: The ACME account was registered with the ACME server
      observedGeneration: 1
      reason: ACMEAccountRegistered
      status: 'True'
      type: Ready
spec:
  acme:
    email: cuikaidong@foxmail.com
    preferredChain: ''
    privateKeySecretRef:
      name: cert-manager-webhook-dnspod-letsencrypt
    server: https://acme-v02.api.letsencrypt.org/directory
    solvers:
      - dns01:
          webhook:
            config:
              secretId: <my-secret-id>
              secretKeyRef:
                key: secret-key
                name: cert-manager-webhook-dnspod-secret
              ttl: 600
            groupName: acme.imroc.cc
            solverName: dnspod
YAML

接下来看看 证书的申请流程.

系列文章

📚️ 参考文档


文章标签：
容器服务Kubernetes版
网络安全
容器
Kubernetes
关键词：
SSL流程
SSL证书
SSL证书流程
manager SSL
SSL申请
相关实践学习
深入解析Docker容器化技术
Docker是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的容器中，然后发布到任何流行的Linux机器上，也可以实现虚拟化，容器是完全使用沙箱机制，相互之间不会有任何接口。Docker是世界领先的软件容器平台。开发人员利用Docker可以消除协作编码时“在我的机器上可正常工作”的问题。运维人员利用Docker可以在隔离容器中并行运行和管理应用，获得更好的计算密度。企业利用Docker可以构建敏捷的软件交付管道，以更快的速度、更高的安全性和可靠的信誉为Linux和Windows Server应用发布新功能。 在本套课程中，我们将全面的讲解Docker技术栈，从环境安装到容器、镜像操作以及生产环境如何部署开发的微服务应用。本课程由黑马程序员提供。 &nbsp; &nbsp; 相关的阿里云产品：容器服务 ACK 容器服务 Kubernetes 版（简称 ACK）提供高性能可伸缩的容器应用管理能力，支持企业级容器化应用的全生命周期管理。整合阿里云虚拟化、存储、网络和安全能力，打造云端最佳容器化应用运行环境。 了解产品详情: https://www.aliyun.com/product/kubernetes
东风微鸣技术博客
目录
相关文章
云服务器小助手
|
1月前
|
网络协议 应用服务中间件 网络安全
阿里云SSL免费申请流程，共20张免费SSL，跟着教程一步步操作（新手一看就懂）
2025年阿里云免费SSL证书申请流程更新，提供Digicert品牌单域名证书，每个账号可申领20张，有效期3个月。通过数字证书管理控制台操作，支持域名DNS验证及多种服务器证书下载。免费版不支持续费，到期重新申请。
云服务器小助手
544 0
弹性计算小冉
|
3月前
|
安全 数据建模 应用服务中间件
阿里云SSL证书价格、证书类型及免费版证书申请和证书部署教程参考
阿里云SSL证书有收费版也有免费版，收费版DV域名级SSL类型405元起，免费版证书为DV域名级SSL类型，每个实名个人和企业主体在一个自然年内可以一次性领取20张免费证书。本文为大家详细介绍阿里云SSL证书价格情况，包括不同域名类型、证书类型、证书等级和证书品牌的相关收费标准，以及免费版证书的申请和部署教程参考。
弹性计算小冉
738 2
游客xxxp5b4cwdiqa
|
7月前
|
安全 算法 网络协议
解析：HTTPS通过SSL/TLS证书加密的原理与逻辑
HTTPS通过SSL/TLS证书加密，结合对称与非对称加密及数字证书验证实现安全通信。首先，服务器发送含公钥的数字证书，客户端验证其合法性后生成随机数并用公钥加密发送给服务器，双方据此生成相同的对称密钥。后续通信使用对称加密确保高效性和安全性。同时，数字证书验证服务器身份，防止中间人攻击；哈希算法和数字签名确保数据完整性，防止篡改。整个流程保障了身份认证、数据加密和完整性保护。
游客xxxp5b4cwdiqa
862 2
沃通WoTrus
|
6月前
|
算法 应用服务中间件 网络安全
阿里云WoSign“国密RSA双SSL证书”应用实践
阿里云WoSign品牌SSL证书是阿里云平台热销的国产品牌证书之一，支持签发国密合规的SM2算法SSL证书以及全球信任的RSA算法SSL证书，能够满足平台用户不同的SSL证书应用需求，同时为用户提供国密模块支持，实现“国密/RSA双证书部署”。
沃通WoTrus
621 6
阿里云WoSign“国密RSA双SSL证书”应用实践
沃通WoTrus
|
6月前
|
算法 安全 应用服务中间件
2025阿里云智惠采购季，WoSign SSL国产证书折上折满减优惠
**2025阿里云“智慧采购季，就上阿里云”活动火热进行中！** 3月1日至31日，阿里云WoSign品牌SSL证书新老用户同享折上折满减优惠。DV SSL证书低至220元/年起，轻松实现HTTPS加密，保障数据传输安全。领取“智惠采购季上云礼包”，先领券再下单，享受满减优惠。WoSign品牌SSL证书国密RSA双算法支持，确保广泛兼容与可靠部署。
沃通WoTrus
804 2
2025阿里云智惠采购季，WoSign SSL国产证书折上折满减优惠
运维大师兄
|
6月前
|
运维 安全 网络安全
【运维实战分享】轻松搞定 SSL 证书管理，告别证书繁琐操作
Spug证书平台的最大亮点之一就是其极为简化的证书申请流程，无论是新手还是经验丰富的运维专家，都可以在几分钟内轻松完成证书的申请，通过微信扫码直接登录申请，无需复杂注册，整个过程既方便又快捷。
运维大师兄
173 17
上云就上阿狸云
|
8月前
|
数据建模 网络安全
阿里云SSL证书不同类型DV、OV和EV如何收费？单域名和通配符SSL价格整理
阿里云SSL证书提供免费和收费版本，涵盖DV、OV、EV多种类型。收费证书品牌包括DigiCert、GlobalSign等，价格从238元/年起。免费SSL证书由Digicert提供，单域名有效3个月，每个实名主体每年可领取20个。具体价格和详情见阿里云SSL官方页面。
上云就上阿狸云
683 51
弹性计算小冉
|
6月前
|
运维 安全 数据建模
阿里云数字证书管理服务免费版和收费版SSL证书区别、收费标准、申请及部署教程参考
阿里云数字证书管理服务提供多种SSL证书类型和品牌，适用于不同规模的网站，包括但不限于电商、小型企业、大型企业或个人等。阿里云SSL证书有收费版的也有免费版的，有的新手用户由于是初次在阿里云申请SSL证书，可能不是很清楚免费版证书的申请和部署流程，本文为以图文形式为大家展示阿里云免费版SSL证书最新的申请及部署教程，以供参考。
弹性计算小冉
1085 3
沃通WoTrus
|
6月前
|
算法 数据建模 应用服务中间件
阿里云2025智惠采购季，WoSign SSL证书优惠叠加使用攻略
阿里云2025智惠采购季，WoSign SSL证书折上折满减优惠！活动月期间（2025年03月01日至03月31日）活动折扣叠加满减优惠券，具体如何操作才能获取组合优惠价格呢？快来get优惠券组合使用攻略吧！
沃通WoTrus
561 4
游客7ynwslnilnga6
|
6月前
|
网络协议 安全 网络安全
申请通配符 SSL 证书的详细流程
申请通配符SSL证书需明确需求并选择知名CA，选择通配符证书，提交域名信息，通过DNS或邮件验证域名，下载证书文件及私钥。最后在服务器上配置证书和私钥，调整SSL参数，确保网站安全启用加密，提升用户信任。
游客7ynwslnilnga6
304 9

热门文章

最新文章

  • 1
    只需三步轻松搞定 Foxmail 发送邮件“错误信息 ssl连接错误 error code 5”
  • 2
    服务器漏洞修复之SSL/TLS协议信息泄露漏洞(CVE-2016-2183）
  • 3
    nginx ssL +tomcat实现https
  • 4
    SSL接收到一个超出最大准许长度的记录 错误处理
  • 5
    国密SSL协议之Nginx集成
  • 6
    一篇文章让你彻底弄懂SSL/TLS协议
  • 7
    SSL/TLS 存在Bar Mitzvah Attack漏洞
  • 8
    公众平台调整SSL安全策略，开发者升级的方法
  • 9
    Zeus Web Server 'SSL2_CLIENT_HELLO' Remote Buffer Overflow Vulnerability
  • 10
    解决SSL routines:ssl3_get_server_certificate:certificate verify failed
  • 1
    使用Nginx Proxy Manager配置Halo的反向代理和申请 SSL 证书
    763
  • 2
    使用Certbot申请/续签ssl证书
    1975
  • 3
    便宜多域名SSL证书申请平台推荐
    187
  • 4
    嗯… 无法访问此页面43.139.210.211 花了太长时间进行响应，无法连接宝塔，是服务器内的宝塔面板开启了ssl的验证，但是没有绑定证书，所以被拦截，关闭宝塔面板的ssl访问认证恢复正常
    487
  • 5
    阿里云免费SSL证书与付费SSL证书区别及免费SSL证书申请教程参考
    2087
  • 6
    宝塔配置ssl证书没有生效
    378
  • 7
    在服务器上正确配置域名https证书（ssl）及为什么不推荐使用宝塔申请免费ssl证书
    497
  • 8
    【Azure App Service】遇见az命令访问HTTPS App Service 时遇见SSL证书问题，暂时跳过证书检查的办法
    256
  • 9
    SSL证书及重要性
    246
  • 10
    SSL证书互联网政务应用案例
    178

    • 相关电子书

    更多
  • 低代码开发师（初级）实战教程
  • 冬季实战营第三期：MySQL数据库进阶实战
  • 阿里巴巴DevOps 最佳实践手册
    • 下一篇
    阿里云 EMR Serverless Spark 版开启免费公测