使用Kubernetes Service处理TLS LetsEncrypt的良好做法

Question

考虑到Nginx反向代理处理TLS LetsEncrypt证书在后端服务“前面”，此设置在Kubernetes上的良好部署架构是什么？

我的第一个想法是使用Nginx和服务器将一个容器同时作为有状态集创建在一个容器中。 所有这些有状态集都可以访问/etc/nginx/certificates上安装的卷。 所有这些容器都在运行cron，并允许续订这些证书。

但是，我认为这不是最好的方法。 这种类型的体系结构是可拆分的，不会在任何地方运行完全独立的服务。

也许我应该运行一个独立的代理服务来处理证书，并且是否重定向到后端服务器部署（用于证书更新的ingress + job ）？

如果您使用的是托管服务（例如GCP HTTPS负载均衡器），则如何发行公共信任的证书并更新证书？

Answer 1

你想要kube-lego 。

kube-lego从Let's Encrypt自动为Kubernetes Ingress资源申请证书

它可以与GKE + LoadBalancer和nginx-ingress一起使用。 用法微不足道； 自动证书申请（包括续签）； 使用LetsEncrypt。

自述文件说-也许是说对了-您需要一个非生产用例。 我已经将其用于生产，并且发现它已经足够可靠。

（完全披露：我与作者之间有松散的联系，但并未为广告产品付费）