AI 助理
备案控制台
开发者社区 云原生 文章 正文

Cert Manager 申请 SSL 证书流程及相关概念 - 一

2024-02-05 193
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： Cert Manager 申请 SSL 证书流程及相关概念 - 一

2022.3.9 用 cert-manager 申请成功通配符证书 (*.ewhisper.cn), 2022.4.30 该证书距离过期还有 30 天，cert-manager 进行自动续期，但是却失败了。😱😱😱

然后过了几天，在 2022.5.8, 最终成功了。如下图：

续期成功的 ewhisper.cn 通配符证书

正好借着这个情况捋一下 cert-manager 的 SSL 证书申请流程以及过程中涉及到的相关概念。

中英文对照表

英文 英文 - K8S CRD 中文 备注
certificates Certificate 证书 certificates.cert-manager.io/v1
certificate issuers Issuer 证书颁发者 issuers.cert-manager.io
ClusterIssuer 集群证书颁发者 clusterissuers.cert-manager.io
certificate request CertificateRequest 证书申请 certificaterequests.cert-manager.io
order Order （证书）订单 orders.acme.cert-manager.io
challenge Challenge （证书）挑战 challenges.acme.cert-manager.io
SelfSigned 自签名 cert-manager Issuer 的一种
CA 证书颁发机构 Certificate Authority 的缩写；
cert-manager Issuer 的一种
Vault 金库 cert-manager Issuer 的一种，即 Hashicorp Vault
Venafi Venafi 在线证书办理服务，目前用的不多。
External 外部 cert-manager Issuer 的一种
ACME 自动证书管理环境 Automated Certificate Management Environment 的缩写；
cert-manager Issuer, 包括 HTTP01 和 DNS01

Cert Manager 简介

cert-manager 在 Kubernetes 集群中添加了证书 (certificates) 和证书颁发者 (certificate issuers) 作为资源类型，并简化了获取、更新和使用这些证书的过程。

它可以从各种支持的来源签发证书，包括 Let’s Encrypt、HashiCorp Vault 和 Venafi 以及私人 PKI。

📝Notes:

常用的主流来源是：Let’s Encrypt

它将确保证书是有效的和最新的，并试图在到期前的一个配置时间内更新证书。

image.png

解释 cert-manager 架构的高层次概览图

Issuer（证书颁发者）

在安装了 cert-manager 之后，需要配置的第一件事是一个证书颁发者，然后你可以用它来签发证书。

cert-manager 带有一些内置的证书颁发者，它们被表示为在 cert-manager.io 组中。除了内置类型外，你还可以安装外部证书颁发者。内置和外部证书颁发者的待遇是一样的，配置也类似。

有以下几种证书颁发者类型：

  • 自签名 (SelfSigned)
  • CA（证书颁发机构）
  • Hashicorp Vault（金库）
  • Venafi (SaaS 服务）
  • External（外部）
  • ACME（自动证书管理环境）
  • HTTP01
  • DNS01

这里先不做详细介绍，目前我的环境有的证书颁发者示例如下：

SelfSigned

如下：

apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
  annotations:
    meta.helm.sh/release-name: cert-manager-webhook-dnspod
    meta.helm.sh/release-namespace: cert-manager
  labels:
    app: cert-manager-webhook-dnspod
    app.kubernetes.io/managed-by: Helm
    chart: cert-manager-webhook-dnspod-1.2.0
    heritage: Helm
    release: cert-manager-webhook-dnspod
  name: cert-manager-webhook-dnspod-selfsign
  namespace: cert-manager
status:
  conditions:
    - lastTransitionTime: '2022-03-01T13:38:53Z'
      observedGeneration: 1
      reason: IsReady
      status: 'True'
      type: Ready
spec:
  selfSigned: {}
YAML

ACME - HTTP01

如下：

apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
  annotations:
    meta.helm.sh/release-name: rancher
    meta.helm.sh/release-namespace: cattle-system
  generation: 2
  labels:
    app: rancher
    app.kubernetes.io/managed-by: Helm
    chart: rancher-2.6.4
    heritage: Helm
    release: rancher
  name: rancher
  namespace: cattle-system
status:
  acme: {}
  conditions:
    - lastTransitionTime: '2022-03-08T14:34:08Z'
      message: The ACME account was registered with the ACME server
      observedGeneration: 2
      reason: ACMEAccountRegistered
      status: 'True'
      type: Ready
spec:
  acme:
    preferredChain: ''
    privateKeySecretRef:
      name: letsencrypt-production
    server: https://acme-v02.api.letsencrypt.org/directory
    solvers:
      - http01:
          ingress: {}
YAML

ACME - DNS01

如下：

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  annotations:
    meta.helm.sh/release-name: cert-manager-webhook-dnspod
    meta.helm.sh/release-namespace: cert-manager
  labels:
    app: cert-manager-webhook-dnspod
    app.kubernetes.io/managed-by: Helm
    chart: cert-manager-webhook-dnspod-1.2.0
    heritage: Helm
    release: cert-manager-webhook-dnspod
status:
  acme:
    lastRegisteredEmail: cuikaidong@foxmail.com
    uri: https://acme-v02.api.letsencrypt.org/acme/acct/431637010
  conditions:
    - lastTransitionTime: '2022-03-01T13:38:55Z'
      message: The ACME account was registered with the ACME server
      observedGeneration: 1
      reason: ACMEAccountRegistered
      status: 'True'
      type: Ready
spec:
  acme:
    email: cuikaidong@foxmail.com
    preferredChain: ''
    privateKeySecretRef:
      name: cert-manager-webhook-dnspod-letsencrypt
    server: https://acme-v02.api.letsencrypt.org/directory
    solvers:
      - dns01:
          webhook:
            config:
              secretId: <my-secret-id>
              secretKeyRef:
                key: secret-key
                name: cert-manager-webhook-dnspod-secret
              ttl: 600
            groupName: acme.imroc.cc
            solverName: dnspod
YAML

接下来看看 证书的申请流程.

系列文章

📚️ 参考文档


文章标签：
容器服务Kubernetes版
网络安全
容器
Kubernetes
关键词：
SSL证书
SSL证书流程
SSL流程
manager SSL
SSL申请
相关实践学习
通过Ingress进行灰度发布
本场景您将运行一个简单的应用，部署一个新的应用用于新的发布，并通过Ingress能力实现灰度发布。
容器应用与集群管理
欢迎来到《容器应用与集群管理》课程，本课程是“云原生容器Clouder认证“系列中的第二阶段。课程将向您介绍与容器集群相关的概念和技术，这些概念和技术可以帮助您了解阿里云容器服务ACK/ACK Serverless的使用。同时，本课程也会向您介绍可以采取的工具、方法和可操作步骤，以帮助您了解如何基于容器服务ACK Serverless构建和管理企业级应用。 学习完本课程后，您将能够： 掌握容器集群、容器编排的基本概念 掌握Kubernetes的基础概念及核心思想 掌握阿里云容器服务ACK/ACK Serverless概念及使用方法 基于容器服务ACK Serverless搭建和管理企业级网站应用
东风微鸣技术博客
目录
相关文章
sunrr
|
2月前
|
安全 网络安全 数据安全/隐私保护
SSL/TLS证书**是一种用于加密网络通信的数字证书
SSL/TLS证书**是一种用于加密网络通信的数字证书
sunrr
121 6
游客h32k5knbm4dwi
|
2天前
|
监控 安全 网络协议
永久免费SSL证书教程—自动续签
要实现免费SSL证书的自动续签，选择合适的证书颁发机构（CA）至关重要。推荐使用JoySSL，填写注册码230922可获得免费且支持自动续签的SSL证书。申请步骤包括注册账户、选择证书类型、提交申请、验证域名所有权及安装证书。配置自动续签需安装续签工具、生成密钥和CSR，并设置续签参数。定期检查证书状态、备份证书和密钥，确保续签顺利进行。注意CA机构的政策和服务条款变化，以保持证书的有效性。
游客h32k5knbm4dwi
35 2
游客h32k5knbm4dwi
|
20天前
|
小程序 安全 网络协议
小程序免费SSL证书获取申请
小程序免费SSL证书的获取与申请流程包括：1. 选择可靠的证书颁发机构（如JoySSL）；2. 注册并申请证书，填写注册码230922；3. 根据需求选择单域名或通配符证书；4. 提交并完成域名所有权验证；5. 下载并安装证书文件；6. 配置小程序的HTTPS设置；7. 启用并测试SSL证书；8. 定期更新维护证书。通过这些步骤，确保小程序数据传输的安全性和可靠性。
游客h32k5knbm4dwi
69 8
游客h32k5knbm4dwi
|
28天前
|
存储 监控 安全
告别手动续签烦恼：一键实现免费SSL证书自动更新
告别手动续签烦恼，一键实现免费SSL证书自动更新。通过自动化续签过程，减少人为错误，提高安全性，节省时间，确保网站始终提供安全、可信的服务。选择支持自动续签的证书颁发机构，并配置相应的工具，轻松管理SSL证书。
游客h32k5knbm4dwi
323 6
游客h32k5knbm4dwi
|
29天前
|
安全 应用服务中间件 网络安全
实战经验分享：利用免费SSL证书构建安全可靠的Web应用
本文分享了利用免费SSL证书构建安全Web应用的实战经验，涵盖选择合适的证书颁发机构、申请与获取证书、配置Web服务器、优化安全性及实际案例。帮助开发者提升应用安全性，增强用户信任。
游客h32k5knbm4dwi
58 1
北阙青云
|
1月前
|
Web App开发 安全 网络协议
多域名 SSL 证书是什么? 多域名 SSL 证书申请流程
多域名SSL证书是保护多个网站时的高效选择，它使得单个证书能够保护多个域名（网站）。这种证书通过在用户的Web浏览器和托管网站的服务器之间建立安全的加密连接，确保了敏感信息（包括登录凭证、信用卡信息和其他个人数据）的安全传输。
北阙青云
373 1
沃通WoTrus
|
2月前
|
算法 安全 网络安全
阿里云SSL证书双11精选，WoSign SSL国产证书优惠
2024阿里云11.11金秋云创季活动火热进行中，活动月期间（2024年11月01日至11月30日）通过折扣、叠加优惠券等多种方式，阿里云WoSign SSL证书实现优惠价格新低，DV SSL证书220元/年起，助力中小企业轻松实现HTTPS加密，保障数据传输安全。
沃通WoTrus
603 3
阿里云SSL证书双11精选，WoSign SSL国产证书优惠
沃通WoTrus
|
1月前
|
存储 安全 算法
阿里云平台WoSign SSL证书，轻量化助力网站安全合规
阿里云WoSign SSL品牌证书可通过SSL/TLS协议的加密认证机制，建立安全的网络连接并校验通信方的真实身份，从而实现网络传输的保密性、完整性，确保通信双方身份可信。部署证书文件到服务器端，帮助等保二级及以上信息系统以及关键信息基础设施信息系统，履行等保安全通信设计技术要求，轻量化助力网站数据传输安全合规建设。
沃通WoTrus
181 2
游客b26rakuy63q5s
|
1月前
|
网络协议 应用服务中间件 网络安全
小白必看：阿里云SSL证书免费申请流程，免费3个月到期解决方法
2024年阿里云提供免费SSL证书申请服务，品牌为Digicert，支持免费单域名证书，每个账号可申请20张，有效期3个月。用户需登录阿里云数字证书管理服务控制台，完成证书申请、域名绑定及DNS验证等步骤，操作简便快捷。更多详情见阿里云官网。
游客b26rakuy63q5s
247 5
游客h32k5knbm4dwi
|
2月前
|
网络安全
给网站免费申请SSL证书
为网站申请免费SSL证书是提升安全性的关键步骤。本文简要介绍如何通过JoySSL申请并部署免费SSL证书，包括选择证书类型、提交申请、验证域名、下载及安装证书等步骤，同时提醒注意备份证书、定期检查状态和更新服务器配置。
游客h32k5knbm4dwi
135 0

热门文章

最新文章

  • 1
    使用let's encrypt免费ssl证书启用网站https
  • 2
    nginx配置ssl证书实现网站https访问(免费ssl证书申请)
  • 3
    常见问题：阿里云ECS云服务器怎么安装配置SSL证书
  • 4
    2023年阿里云免费SSL证书申请教程
  • 5
    阿里云ECS云服务器怎么安装配置SSL证书
  • 6
    使用cert-manager给阿里云的DNS域名授权SSL证书
  • 7
    证书转换-SSL证书生成：cer，jks文件 韩俊强的博客
  • 8
    八大免费SSL证书—为网站免费添加HTTPS加密
  • 9
    nginx使用ssl证书
  • 10
    百度搜索：蓝易云【Nginx服务器上安装SSL证书？】
  • 1
    SSL加密
    73
  • 2
    Elasticsearch 8.X 集群 SSL 证书到期了，怎么更换?
    359
  • 3
    【专栏】深入探讨 L2TP 与 SSL 这两种协议的区别，帮助读者更好地理解它们各自的特点和适用场景
    927
  • 4
    /config --prefix=/usr/local/ssl --shared 命令里的参数的作用
    420
  • 5
    阿里云服务器配置、(xshell)远程连接、搭建环境、设置安全组、域名备案、申请ssl证书
    539
  • 6
    SSL原理、生成SSL密钥对、Nginx配置SSL
    163
  • 7
    深入理解SSL数字证书：定义、工作原理与网络安全的重要性
    483
  • 8
    nginx配置SSL证书配置https访问网站 超详细（附加配置源码+图文配置教程）
    778
  • 9
    HTTP代理SSL连接：保障网络安全的重要协议
    105
  • 10
    IDEA DataGrip连接sqlserver 提示驱动程序无法通过使用安全套接字层(SSL)加密与 SQL Server 建立安全连接的解决方法
    761

    • 相关电子书

    更多
  • 低代码开发师（初级）实战教程
  • 冬季实战营第三期：MySQL数据库进阶实战
  • 阿里巴巴DevOps 最佳实践手册
    • 下一篇
    DataWorks智能交互式数据开发与分析之旅