現有主機名的 letsencrypt SSL 證書是否可行？

Question

我想弄清楚如何在不中斷用戶/客戶的情況下將網站/服務器從 digitalocean droplet 遷移到 Azure (AKS)。

digitalocean 配置具有由 letsencrypt（通過 serverpilot 管理）為主機名foo.example.com提供的 SSL 證書。

在新配置中：

• 安裝ClusterIssuer ( cert-manager.io/v1 )
• 為入口資源自動頒發 SSL 證書工作正常

我ClusterIssuer的是，當已經有一個證書foo.example.com給同一主機數字海洋液滴？

我的直覺告訴我不，因為要進行完全的敵意收購，所需要做的就是獲取我們的 DNS 配置並為域設置證書...我正在嘗試找出一種方法來測試/驗證這一點，但非常感謝對此的任何智慧。

Answer 1

您將能夠使用 cert-manager 進行配置，即使您在 digital Ocean droplet 中有可用的現有證書也可以。 當我將我的網站從 godaddy 遷移到 aks 時，我做了類似的練習。

你可以參考這個鏈接

如果你想使用你現有的證書直到它過期，你仍然可以這樣做，如果你有證書 pem 文件和 crt。

kubectl create secret generic domain-tls \
  --from-file=tls.key=<your domain.pem> \
  --from-file=tls.crt=<your domain.crt>

Answer 2

我還可以確認，根據我的經驗，同一域擁有兩個證書效果很好，但事實上， rfc5280已superseded成為撤銷證書的第四個原因。 如果這已經自動發生，那么有這個理由就沒有任何意義。

此外，如果您將證書頒發機構視為高可用集群的提供者，您可能想知道 letsencrypt 驗證域需要多長時間。 如果您要使您或第三方首次更換和/或使用的證書過期，即使您可以，該機構仍然必須在其所有集群節點上使證書過期並且無法請求證書，您可以大致說出這樣的分發需要多長時間：對於您的高可用性服務來說太長了。