KubernetesCert-ManagerをインストールしてLet'sEncryptを設定する方法

Cert-Managerは、Kubernetesクラスター内の証明書のプロビジョニングを自動化します。証明書を発行してサービスに添付するための一連のカスタムリソースを提供します。

最も一般的な使用例の1つは、Let’sEncryptのSSL証明書を使用してWebアプリとAPIを保護することです。 Cert-Managerをクラスターに追加し、Let’s Encrypt証明書発行者を設定し、Ingressを介して公開されたポッドの証明書を取得する方法は次のとおりです。

Cert-Managerのインストール

Cert-Managerは、Helmを使用してインストールするのが最も簡単です。 HelmはKubernetesパッケージマネージャーであり、事前に作成されたチャートのリポジトリを使用してクラスターにアプリケーションを追加できます。 Helmがインストールされ、Kubernetesクラスターに接続してセットアップされていることを確認してください。

まず、JetstackリポジトリをHelmインストールに追加します。 Jetstackは、CNCFに寄付される前にCert-Managerを最初に開発しました。

helm repo add jetstack https://charts.jetstack.io
helm repo update

次に、Cert-Managerをクラスターにインストールします。

helm install cert-manager jetstack/cert-manager --namespace cert-manager --create-namespace --version v1.5.3 --set installCRDs=true

上記のバージョン番号を、Cert-Managerのドキュメントに示されている最新のリリースに置き換えます。

このコマンドは、cert-managerと呼ばれる新しいKubernetes名前空間にCert-Managerをインストールします 。 installCRDs 設定すると、インストール中にCert-ManagerのカスタムKubernetesリソースが追加されます。これは、Helmバージョン3.2以降でのみ機能します。古いバージョンを使用している場合は、Kubectlを使用してリソース定義を手動で追加する必要があります。

kubectl apply -f https://github.com/jetstack/cert-manager/releases/download/v1.5.3/cert-manager.crds.yaml

Kubectlプラグインの追加

Cert-Managerには、いくつかの一般的な管理タスクを簡素化するKubectlプラグインがあります。また、Cert-Managerが稼働していて、リクエストを処理する準備ができているかどうかを確認することもできます。

アーカイブをダウンロードして正しいディレクトリに抽出することにより、プラグインをインストールします。

curl -L -o kubectl-cert-manager.tar.gz https://github.com/jetstack/cert-manager/releases/latest/download/kubectl-cert_manager-linux-amd64.tar.gz
tar xzf kubectl-cert-manager.tar.gz
sudo mv kubectl-cert_manager /usr/local/bin

次に、プラグインを使用して、Cert-Managerのインストールが機能していることを確認します。

kubectl cert-manager check api

次の出力が表示されます。

The cert-manager API is ready

これで、Let’sEncryptから証明書を取得するための発行者を追加する準備が整いました。

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-staging
spec:
  acme:
    server: https://acme-staging-v02.api.letsencrypt.org/directory
    email: [email protected]
    privateKeySecretRef:
      name: letsencrypt-staging
    solvers:
      - http01:
          ingress:
            class: nginx

kubectl create -f issuer.yml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app
spec:
  replicas: 1
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
        - name: my-app
          image: wordpress:latest
          ports:
            - containerPort: 80
 
---

apiVersion: v1
kind: Service
metadata:
  name: my-service
spec:
  selector:
    app: my-app
  ports:
    port: 80
 
---

apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: my-ingress
  annotations:
    kubernetes.io/ingress.class: nginx
    cert-manager.io/cluster-issuer: letsencrypt-staging
spec:
  rules:
    - host: example.com
      http:
        paths:
          - path: /
            backend:
              serviceName: my-service
              servicePort: 80
  tls:
    - hosts:
      - example.com

https://acme-v02.api.letsencrypt.org/directory

kubectl create -f issuer-production.yml

kubectl apply -f my-ingress.yaml

helm repo update
helm upgrade --version <new version> cert-manager jetstack/cert-manager