Kubernetes: cert-manager med FairSSL ACME

Uppsättning

Guiden förutsätter att du redan har cert-manager installerat i klustret (Helm chart eller statiskt manifest). Har du inte det, följ först installationsguiden för cert-manager. ARI kräver v1.21 eller senare med feature gate ACMEUseARI.

Steg 1: Skapa en Secret för EAB

Hämta EAB KID och HMAC-nyckeln under fliken ACME i din FairSSL-kontrollpanel och skapa en Kubernetes Secret i namespacet cert-manager.

kubectl create secret generic fairssl-eab-secret \
  --namespace cert-manager \
  --from-literal=secret=DIN_EAB_HMAC

Steg 2: Skapa en ClusterIssuer

En ClusterIssuer kan användas från alla namespaces. Spara filen som fairssl-issuer.yaml och lägg in den med kubectl apply.

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: fairssl-acme-issuer
spec:
  acme:
    email: acme-client@fairssl.dk
    server: https://fairssl.dk/acme
    privateKeySecretRef:
      name: fairssl-acme-account-key
    externalAccountBinding:
      keyID: DIN_EAB_KID
      keySecretRef:
        name: fairssl-eab-secret
        key: secret
    solvers:
    - http01:
        ingress:
          ingressClassName: nginx

kubectl apply -f fairssl-issuer.yaml

Steg 3: Konfigurera FairSSL AutoDNS

Varje domän du beställer certifikat för behöver en CNAME-post för _dnsauth.<domän> som pekar på FairSSLs DNS-server enligt AutoDNS-menyn. Det görs en gång per domän. Exemplet använder HTTP-01 i Kubernetes, men med AutoDNS fungerar förnyelsen utan manuellt ingripande även om Ingress-sökvägen tillfälligt inte går att nå.

Steg 4: Beställ ett certifikat

Skapa ett Certificate-objekt som refererar till din ClusterIssuer. cert-manager skapar automatiskt en TLS Secret med det namn som anges i secretName, och dina Deployments och Ingresses kan använda den.

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: www-exempel-se
  namespace: default
spec:
  secretName: www-exempel-se-tls
  issuerRef:
    name: fairssl-acme-issuer
    kind: ClusterIssuer
  commonName: www.exempel.se
  dnsNames:
  - www.exempel.se
  - exempel.se

Steg 5: Verifiera och felsök

kubectl describe clusterissuer fairssl-acme-issuer
kubectl get certificate www-exempel-se -n default
kubectl describe certificate www-exempel-se -n default
kubectl get challenges -A

När status visar Ready: True innehåller www-exempel-se-tls ditt certifikat och den privata nyckeln, och kan monteras i din Deployment eller användas av en Ingress. Du kan kontrollera certifikatet utifrån med FairSSLs SSL-skanner.