Пост

Автовыдача SSL сертификатов через lets Encrypt с днс Cloudflare

Опубликовано
Preview Image
Автор Anton Gizex
2 мин. чтения

Подразумевается, что в качестве внешего DNS сервера будет использоваться Cloudflare

Установка

Ставим через helm

1
2
3
4
5
6
7

helm install \
  cert-manager jetstack/cert-manager \
  --namespace cert-manager \
  --create-namespace \
  --version v1.13.3 \
  --set installCRDs=true
  --set 'extraArgs={--dns01-recursive-nameservers-only,--dns01-recursive-nameservers=8.8.8.8:53\,1.1.1.1:53}'

extraArgs={--dns01-recursive-nameservers-only,--dns01-recursive-nameservers=8.8.8.8:53\,1.1.1.1:53}' Необходим, если используется свой ДНС сервер, т.к. по дефолту cert-manager смотрит в /etc/resolv.conf и если там указан свой ДНС, то на нём данных не будет и cert-manager не сможем прочитать txt челенджа

Конфигурация

Secrets

Нужны token и key с cloudflare

Создаем секрет

1
2
3
4
5
6
7
8
9

apiVersion: v1
kind: Secret
metadata:
  name: cloudflare-api-token-secret
  namespace: cert-manager
type: Opaque
stringData:
  api-key: "your_api-key"
  api-token: "your_api-token"

ClusterIssuer

Далее для автоматического выпуска сертификатов нужно создать #clusterissuer

PROD

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-cloudflare
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    email: [email protected]
    privateKeySecretRef:
      name: letsencrypt-cloudflare
    solvers:
    - dns01:
        cloudflare:
          email: [email protected]
          apiTokenSecretRef:
            name: cloudflare-api-token-secret
            key: api-token

STAGE - используется для тестирования выпуска сертификатов, т.к. PROD имеет ограниченный лимит на кол-во запросов

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-cloudflare-stage
spec:
  acme:
    server: https://acme-staging-v02.api.letsencrypt.org/directory
    email: [email protected]
    privateKeySecretRef:
      name: letsencrypt-cloudflare-stage
    solvers:
    - dns01:
        cloudflare:
          email: [email protected]
          apiTokenSecretRef:
            name: cloudflare-api-token-secret
            key: api-token

Использование

Автоматический выпуск с помощью #clusterissuer

Для этого в annotations нужно указать нужный #clusterissuer , а так же задать хост в tls и указать название sectet в который сохранится сертификат

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: gizex-pro-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
    cert-manager.io/cluster-issuer: "letsencrypt-cloudflare"
spec:
  tls:
  - hosts:
    - gizex.pro
    secretName: gizex-pro-tls
  rules:
  - host: gizex.pro
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: gizex-pro
            port:
              number: 80
Ручное создание

В некоторых случаях будет может возникнуть необходимость в ручную запросить новый сертификат, для этого используем kind: Certificate

1
2
3
4
5
6
7
8
9
10
11
12

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: wildcard-k8s-gizex-ru-tls
spec:
  secretName: wildcard-k8s-gizex-ru-tls
  issuerRef:
    name: letsencrypt-cloudflare
    kind: ClusterIssuer
  dnsNames:
  - '*.k8s.gizex.pro'
  - 'k8s.gizex.pro'

И применяем

1
2

kubectl apply -f wildcard-k8s-gizex-certificate.yaml
kubectl describe certificate wildcard-k8s-gizex-ru

Готовый пример 

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56

apiVersion: v1
kind: Secret
metadata:
  name: cloudflare-api-key-secret
  namespace: cert-manager
type: Opaque
stringData:
  api-key: "api-key"
---
apiVersion: v1
kind: Secret
metadata:
  name: cloudflare-secrets
  namespace: cert-manager
type: Opaque
stringData:
  api-key: "api-key"
  api-token: "api-token"
---

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-cloudflare
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    email: [email protected]
    privateKeySecretRef:
      name: letsencrypt-cloudflare
    solvers:
    - dns01:
        cloudflare:
          email: [email protected]
          apiTokenSecretRef:
            name: cloudflare-secrets
            key: api-token
---

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-cloudflare-stage
spec:
  acme:
    server: https://acme-staging-v02.api.letsencrypt.org/directory
    email: [email protected]
    privateKeySecretRef:
      name: letsencrypt-cloudflare-stage
    solvers:
    - dns01:
        cloudflare:
          email: [email protected]
          apiTokenSecretRef:
            name: cloudflare-secrets
            key: api-token
Kubernetes
k8s letsencrypt ssl cloudlfare
Авторский пост защищен лицензией CC BY 4.0 .