在cert-manager中利用EKS Pod Identity实现Route53 DNS01挑战

cert-manager作为Kubernetes生态中广泛使用的证书管理工具，其DNS01挑战功能对于自动化证书签发至关重要。本文将详细介绍如何在AWS EKS环境中，通过Pod Identity这一现代IAM凭证管理方式，实现cert-manager与Route53的集成。

Pod Identity与传统IRSA的对比

AWS EKS提供的Pod Identity是一种比传统IRSA（IAM Roles for Service Accounts）更先进的凭证管理机制。它通过以下方式简化了IAM管理：

1. 不再需要为每个Service Account手动创建IAM角色
2. 消除了Service Account注解的维护需求
3. 基于命名空间和服务账户的自动关联机制
4. 支持更细粒度的访问控制

配置cert-manager支持Pod Identity

要使cert-manager能够利用Pod Identity访问Route53，需要进行以下配置：

1. 启用环境凭证

在cert-manager的部署配置中，需要添加特定参数来启用环境凭证支持：

extraArgs:
  - --issuer-ambient-credentials

这一配置允许cert-manager从Pod运行环境中获取AWS凭证，而非依赖传统的Secret或配置方式。

2. IAM策略配置

当cert-manager需要跨AWS账户访问Route53时，目标账户的信任策略必须包含必要的权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::222222555555:role/certmanagerpodindentityrolename"
      },
      "Action": [
        "sts:TagSession",
        "sts:AssumeRole"
      ]
    }
  ]
}

特别注意sts:TagSession权限的添加，这是Pod Identity正常工作所必需的。

实践示例

以下是一个完整的Issuer配置示例，展示了如何结合Pod Identity和Route53：

apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
  name: podinfo-dns
spec:
  acme:
    preferredChain: ""
    secretKeyRef:
      name: podinfo-dns
    server: https://acme-v02.api.letsencrypt.org/directory
    solvers:
      - dns01:
          route53:
            region: eu-central-1
            role: arn:aws:iam::333333888888:role/dns-manager
        selector:
          dnsZones:
            - "your.zone"

常见问题排查

如果在配置过程中遇到凭证相关错误，如"empty credentials; perhaps you meant to enable ambient credentials?"，请检查：

1. cert-manager是否配置了--issuer-ambient-credentials参数
2. Pod Identity关联的IAM角色是否具有足够的Route53访问权限
3. 跨账户访问时，信任策略是否正确配置了sts:TagSession权限

总结

通过Pod Identity集成cert-manager和Route53 DNS01挑战，不仅简化了IAM管理，还提高了安全性。这种现代化的凭证管理方式特别适合大规模、多团队的Kubernetes环境，是AWS EKS用户实现自动化证书管理的推荐方案。