ssl - GKE 自动驾驶仪 : How to add/manage SSL Certificate to GKE autopilot

Question

我最近设置了一个 GKE 自动驾驶仪，但意识到它不支持 cert-manager 所依赖的 webhook。我们必须向 GKE 自动驾驶集群添加/管理 SSL 证书的其他选项是什么？

Answer 1

截至 2021 年 5 月，GKE Autopilot 不再支持 3rd 方 webhook。没有 webhook，很多 Kubernetes 插件比如 cert-manager 就无法正常运行。 Cert-manager 使用自定义的 mutating admission webhook 来管理证书，该证书在 GKE Autopilot 上是不可变的。
要为 Autopilot 集群添加/管理 SSL 证书，您应该首先从这个 GCP 官方文档 Google-managed SSL certificates 开始.
您可以使用 ManagedCertificate 自定义资源配置 Google 管理的 SSL 证书，该资源在不同的 API 版本中可用，具体取决于您的 GKE 集群版本。建议您使用更新的 API 版本。

ManagedCertificate v1beta2 API 在 GKE 集群版本中可用
1.15 及更高版本。

ManagedCertificate v1 API 在 GKE 集群版本中可用
1.17.9-gke.6300 及更高版本。

Note: Google-managed SSL certificates aren't currently supported for internal HTTPS load balancers. For internal HTTPS load balancers, use self-managed SSL certificates instead. This feature is only available for Ingress for External HTTP(S) Load Balancing, can read more here.

要配置 Google 管理的 SSL 证书并将其与 Ingress 关联，请首先执行两个基本步骤:

在相同的命名空间中创建一个 ManagedCertificate 对象
入口。

通过添加一个 ManagedCertificate 对象与一个 Ingress
向 Ingress 注释networking.gke.io/managed-certificates。
此注解是以逗号分隔的 ManagedCertificate 列表
资源，例如 cert1、cert2、cert3。
详细提到here .

你必须关注一些 prerequisites :

您必须拥有该域名(Google Domains 或其他注册商)。

你的“kubernetes.io/ingress.class”必须是“gce”。

创建一个保留的(静态)外部 IP 地址。如果您不预订
一个地址，它可能会改变，需要你重新配置你的域
DNS 记录。

要设置 Google 管理的证书，请通过 sample ManagedCertificate manifest .