Cert Manager 申请SSL证书流程及相关概念-二

Posted 2023-01-24

中英文对照表

英文	英文 - K8S CRD	中文	备注
certificates	Certificate	证书	certificates.cert-manager.io/v1
certificate issuers	Issuer	证书颁发者	issuers.cert-manager.io
	ClusterIssuer	集群证书颁发者	clusterissuers.cert-manager.io
certificate request	CertificateRequest	证书申请	certificaterequests.cert-manager.io
order	Order	（证书）订单	orders.acme.cert-manager.io
challenge	Challenge	（证书）挑战	challenges.acme.cert-manager.io
SelfSigned		自签名	cert-manager Issuer 的一种
CA		证书颁发机构	Certificate Authority 的缩写；<br />cert-manager Issuer 的一种
Vault		金库	cert-manager Issuer 的一种，即 Hashicorp Vault
Venafi			Venafi 在线证书办理服务，目前用的不多。
External		外部	cert-manager Issuer 的一种
ACME		自动证书管理环境	Automated Certificate Management Environment 的缩写；<br />cert-manager Issuer, 包括 HTTP01 和 DNS01

书接上回, 接下来看一下 cert-manager 的证书申请和续期流程.

申请 SSL 证书流程

这张图显示了使用 ACME/Lets Encrypt Issuer 的名为cert-1的证书的生命周期:

HTTP01 方式

cert-manager 可以用来从使用 ACME 协议的 CA 获得证书。ACME 协议支持各种 challenge 机制，用来证明一个域名的所有权，以便为该域名签发有效的证书。

其中一个 challenge 机制是 HTTP01 challenge。通过 HTTP01 challenge，你可以通过确保一个特定的文件存在于该域中来证明该域的所有权。如果你能够在给定的路径下发布给定的文件，就可以认为你控制了该域。

首先，配置 HTTP01 Issuer, 见上文

https://acme-v02.api.letsencrypt.org/directory 就是 Lets Encrypt 的生产环境。对应的，Staging 环境 的 URL 为：https://acme-staging-v02.api.letsencrypt.org/directory

Staging 环境不会签发可信的证书，但用来确保在转移到生产环境之前，验证过程是正常工作的。Lets Encrypt 的生产环境施加了更严格的 速率限制，所以为了减少你触及这些限制的机会，强烈建议开始时先使用暂存环境。

ACME 协议的第一阶段是由客户向 ACME 服务器注册。这个阶段包括生成一个非对称密钥对，然后将其与发件人中指定的电子邮件地址联系起来 (