Let‘s Encrypt介绍（免费、自动化、开放的SSL/TLS证书颁发机构CA，Certificate Authority）cert-manager

文章目录没有 Lets Encrypt 之前Lets Encrypt 出现后在 Kubernetes 中怎么用cert-managerstaging 和 prod 是什么Staging测试环境Production生产环境为什么 Kubernetes 项目几乎都用它Let’s Encrypt是一个免费的、自动化的、开放的 SSL/TLS 证书颁发机构CACertificate Authority。它解决的问题很简单让网站能够使用 HTTPS 加密通信而不用花钱购买证书。没有 Let’s Encrypt 之前以前部署网站向证书机构购买 SSL 证书提交域名验证资料下载证书手动安装到 Nginx / Apache每年续费过程比较麻烦而且通常要收费。Let’s Encrypt 出现后只需要证明“这个域名是我的”Let’s Encrypt 就会免费签发证书。例如api.example.com验证通过后获得fullchain.pem privkey.pem然后配置ssl_certificate fullchain.pem; ssl_certificate_key privkey.pem;浏览器就能显示https://api.example.com 安全连接在 Kubernetes 中怎么用你的截图里有gateway/cert-issuer.yaml内容Lets Encrypt staging prod ClusterIssuer这通常意味着使用cert-managerKubernetes 最常见的自动证书管理方案。架构Internet │ ▼ Kong Ingress │ ▼ cert-manager │ ▼ Lets Encrypt工作流程创建 Ingress │ ▼ cert-manager发现需要证书 │ ▼ 向Lets Encrypt申请 │ ▼ 自动验证域名 │ ▼ 生成TLS Secret │ ▼ Kong自动加载证书最终https://api.xxx.com https://auth.xxx.com https://app.xxx.com全部自动获得 HTTPS。staging 和 prod 是什么你截图中的Lets Encrypt staging prod ClusterIssuer一般会定义两个 IssuerStaging测试环境server:https://acme-staging-v02.api.letsencrypt.org/directory特点不限申请次数证书不受浏览器信任用于调试浏览器会提示Your connection is not private这是正常的。Production生产环境server:https://acme-v02.api.letsencrypt.org/directory特点真正可用浏览器信任有申请频率限制获得的证书就是正式 HTTPS 证书。为什么 Kubernetes 项目几乎都用它原因很简单方案成本自动续期Kubernetes集成商业SSL收费通常手动一般Let’s Encrypt免费自动非常好所以现在 Kubernetes 的标准组合几乎是Kong / Nginx Ingress cert-manager Lets Encrypt你现在这个架构里的cert-issuer.yaml本质上就是定义 cert-manager 如何向 Let’s Encrypt 申请和续期 HTTPS 证书。这是目前 Kubernetes 公网服务部署中最主流、最接近事实标准de facto standard的 HTTPS 方案。