Cert-Manager 证书续订流程 - 如何执行？

我在用cert-manager-v0.10.0从其安装舵图

我在用kong就像入口控制器来管理入口操作。

所以我创建了一个ClusterIssuer资源，以便可以通过 kong-ingress 控制器从 Ingress 资源联系它。

The ClusterIssuer这是：

   apiVersion: certmanager.k8s.io/v1alpha1
   kind: ClusterIssuer
   metadata:
     name: letsencrypt-prod
   spec:
     acme:
       # The ACME server URL
       server: https://acme-v02.api.letsencrypt.org/directory
       # Email address used for ACME registration
       email: [email protected]
       # Name of a secret used to store the ACME account private key
       privateKeySecretRef:
         name: letsencrypt-prod
       # Enable the HTTP-01 challenge provider
       solvers:
       - http01:
           ingress:
             class: kong

我正在使用的入口资源是这样的。

您可以在这里看到，我将其指向之前创建的 ClusterIssuer，并且 另外，我将其指向 kong 作为入口控制器，根据kubernetes.io/ingress.class: "kong"其中包含注释：

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  annotations:
    # add an annotation indicating the issuer to use.
    certmanager.k8s.io/cluster-issuer: letsencrypt-prod # letsencrypt-staging
    kubernetes.io/ingress.class: "kong"
    plugins.konghq.com: swaggerapi-customer-production-basic-auth, swaggerapi-customer-production-acl
  name: production-customer-ingress-app
  # namespace: default
spec:
  rules:
  - host: appprod.mydomain.org
    http:
      paths:
      - backend:
          serviceName: customer-production-app
          servicePort: 80
        path: /comcustomerpr
  tls: # < placing a host in the TLS config will indicate a cert should be created
  - hosts:
    - appprod.mydomain.org
    secretName: letsencrypt-prod # < cert-manager will store the created certificate in this secret.

因此，当我创建上面的 Ingress 资源时，secretName上面在我的入口中引用的内容已创建，并且还有一个同名的证书资源......即letsencrypt-prod.

它将是接收 LetsEncrypt 验证成功过程的证书资源...

我得到了 TLS 加密，这里一切正常。

但现在，我想知道续订过程如何。因为我目前非常确定更新证书过程不会自动发生......

我正在这里读一些东西https://docs.cert-manager.io/en/latest/reference/certificates.html?highlight=renewal#certificate-duration-and-renewal-window该文档说有必要附加到创建的证书资源（kind:Certificate) the spec.duration and spec.renewBefore这种方式的属性

spec:
  secretName: example-tls
  duration: 24h
  renewBefore: 12h

如果 LetsEncrypt 颁发的证书默认期限为 90 天，我该如何指定这些spec.duration and spec.renewBefore属性？

我想讨论这个问题，因为我的主要问题是我没有创建证书，它是在执行 Ingress 资源（上面引用的）时创建的。

我怎样才能用我正在做的这种方法解决这里的更新过程？

UPDATE

我需要创建一个特定的kind:Certificate资源，引用我从 LetsEncrypt 获得的秘密？

我的意思是，像这样的东西？

apiVersion: certmanager.k8s.io/v1alpha1
kind: Certificate
metadata:
  name: letsencrypt-prod
spec:
  secretName: letsencrypt-prod
  dnsNames:
  - mydomain.com
  acme:
    config:
    - http01:
        ingressClass: kong
      domains:
      - mydomain.com
  issuerRef:
    name: letsencrypt-prod
    kind: ClusterIssuer

我在这里有疑问，因为目前我没有收到证书续订操作

既然你已经使用了letsencrypt-prod颁发者，并且没有做任何特殊/非标准的事情，证书续订过程将为您完全自动。

默认情况下，letscrypt 证书的有效期为 90 天，并每 30 天自动更新一次。如果您对使用购买的证书没有严格要求，或使用其他特定的证书颁发机构，那么这是一个不错的选择。

如果您仍然有疑问，那么您可以执行以下操作来亲自查看。首先解码当前证书的秘密数据并使用以下命令检查证书内容openssl命令。您将能够看到证书的到期日期，并记下该日期。现在，如果您从到期日期中减去 59 天，那么您应该大致得到证书管理器尝试续订证书的日期。为了安全起见，我多加了一天时间，我们还不算太早。然后在那一天再次重复这个过程；解码证书秘密，使用检查证书openssl命令，并检查证书到期日期。您会注意到证书的到期日期与以前不同，因此它会按照我们的预期自动续订。

希望这可以帮助。