使用Google管理的证书（Managed Certificates）于Kubernetes集群

2024-09-24 10:40:17作者：明树来

项目介绍

Google Cloud Platform上的Managed Certificates for Kubernetes clusters使用GCLB（Google Cloud Load Balancer），简化了HTTPS流量管理过程。 此项目允许开发者通过创建Managed Certificate自定义资源对象并指定所需保护的域名，自动获取和续订SSL证书，无需手动处理证书权威机构(CA)的申请、负载均衡器配置以及及时续期等繁琐步骤。它特别适用于运行在GKE或GCP内的自托管Kubernetes集群上，并且已支持GA版本。

项目快速启动

环境准备

确保您的Kubernetes集群满足以下条件：

支持GKE-Ingress v1.5.1+。
集群版本建议v1.19.0以上，v1.15+可能也适用，而v1.13-v1.15需启用特定功能。
赋予控制器必要的GCP API权限。

安装步骤

部署Managed Certificate CRD:

kubectl create -f deploy/managedcertificates-crd.yaml

部署Controller: 可以使用默认镜像或自建镜像替换deploy/managed-certificate-controller.yaml中的图像地址。
```
kubectl create -f deploy/managed-certificate-controller.yaml
```

创建证书示例: 编写yaml文件或直接执行命令，指定您要获取证书的域名。

apiVersion: networking.gke.io/v1
kind: ManagedCertificate
metadata:
  name: example-certificate
spec:
  domains:
    - example1.com
    - example2.com

并应用此配置。

配置Ingress: 使用kubectl给Ingress添加注解来关联刚创建的Managed Certificate。

kubectl annotate ingress your-ingress-name networking.gke.io/managed-certificates=example-certificate

应用案例和最佳实践

多域单一管理: 使用单个Managed Certificate管理多个相关联的域名，提高证书管理和更新的一致性。
自动化部署: 结合CI/CD流程，自动创建和关联Managed Certificates，实现环境间无缝迁移。
安全性: 确保你的域名CAA记录兼容如Google Trust Services或Let's Encrypt，以利用Managed Certificates的自动化更新特性。

典型生态项目集成

虽然项目本身是围绕GKE和其证书管理机制设计，但它的生态集成主要体现在如何与Kubernetes的其他服务或第三方云原生工具结合。例如：

与Istio集成: 对于需要更细粒度的服务网格管理场景，尽管直接集成信息较少，但可以通过自定义Ingress Gateway来间接使用Managed Certificates，增强服务之间的安全通信。
自动化部署脚本: 结合Helm图表或Kustomize，可以将Managed Certificates的部署作为基础设施即代码的一部分，纳入到自动化部署流程中。

此文档提供了一个快速入门指南，详细配置和管理步骤请参考官方仓库的最新说明和文档。