如何配置 ClusterIssuer 來自定義證書有效期和續訂？

Question

我想在整個集群中自定義證書有效期和續訂。 我猜用 ClusterIssuer 這樣做是可行的。 有沒有辦法這樣做？

Answer 1

您可以通過在Certificate CR 中指定duration字段來指定自簽名證書的duration ：

apiVersion: certmanager.k8s.io/v1alpha1
kind: Certificate
metadata:
  name: example
spec:
  duration: 24h
  ...

您可以使用renewBefore字段控制證書到期前多久續訂：

apiVersion: certmanager.k8s.io/v1alpha1
kind: Certificate
metadata:
  name: example
spec:
  renewBefore: 12h
...

文檔中的詳細信息。

Answer 2

為此，您可以使用以下兩個字段對其進行配置

duration: 2160h # 90d
renewBefore: 360h # 15d

需要注意的事項：

該renewBefore和duration字段必須使用Golang的指定time.Time字符串格式，它不允許d（天）。

示例證書

apiVersion: cert-manager.io/v1alpha2
kind: Certificate
metadata:
  name: example-com
  namespace: default
spec:
  secretName: example-com-tls
  duration: 2160h # 90d
  renewBefore: 360h # 15d
  commonName: example.com
  dnsNames:
  - example.com
  - www.example.com
  uriSANs:
  - spiffe://cluster.local/ns/sandbox/sa/example
  issuerRef:
    name: ca-issuer
    # We can reference ClusterIssuers by changing the kind here.
    # The default value is Issuer (i.e. a locally namespaced Issuer)
    kind: Issuer