Kubernetes: cert-manager med FairSSL ACME

Uppsättning

Guiden förutsätter att du redan har cert-manager installerat i klustret (Helm chart eller statiskt manifest). Om inte, följ cert-manager-installationen först. Använd v1.18 eller senare för ARI-stöd.

Steg 1: Skapa EAB-secret

Hämta EAB KID och HMAC-nyckeln från ACME-fliken i din FairSSL-kontrollpanel och skapa en Kubernetes Secret i cert-manager-namespacet.

kubectl create secret generic fairssl-eab-secret \
  --namespace cert-manager \
  --from-literal=secret=DIN_EAB_HMAC

Steg 2: Skapa ClusterIssuer

ClusterIssuer är tillgänglig från alla namespaces. Spara som fairssl-issuer.yaml och apply.

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: fairssl-acme-issuer
spec:
  acme:
    email: acme-client@fairssl.dk
    server: https://fairssl.dk/acme
    privateKeySecretRef:
      name: fairssl-acme-account-key
    externalAccountBinding:
      keyID: DIN_EAB_KID
      keySecretRef:
        name: fairssl-eab-secret
        key: secret
    solvers:
    - http01:
        ingress:
          ingressClassName: nginx

kubectl apply -f fairssl-issuer.yaml

Steg 3: Konfigurera FairSSL AutoDNS

Se till att varje domän du beställer certifikat för har en CNAME-post för _dnsauth.<domän> till FairSSLs DNS-server i AutoDNS-menyn. Engångsuppsättning per domän. Även om vi använder HTTP-01-metoden i Kubernetes ser AutoDNS till att förnyelsen fungerar utan manuellt ingripande om Ingress-sökvägen tillfälligt skulle vara oåtkomlig.

Steg 4: Beställ ett certifikat

Skapa ett Certificate-objekt som refererar till ClusterIssuer. cert-manager skapar automatiskt en TLS Secret med namnet i secretName, som dina Deployments och Ingresses kan använda.

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: www-exempel-se
  namespace: default
spec:
  secretName: www-exempel-se-tls
  issuerRef:
    name: fairssl-acme-issuer
    kind: ClusterIssuer
  commonName: www.exempel.se
  dnsNames:
  - www.exempel.se
  - exempel.se

Steg 5: Verifiera och felsök

kubectl describe clusterissuer fairssl-acme-issuer
kubectl get certificate www-exempel-se -n default
kubectl describe certificate www-exempel-se -n default
kubectl get challenges -A

När status visar Ready: True innehåller www-exempel-se-tls ditt certifikat och privata nyckel och är redo att monteras av din Deployment eller refereras av en Ingress. Du kan verifiera det publika certifikatet med FairSSLs SSL-skanner.