Сертифікований менеджер

Cert-Manager: Спрощення керування сертифікатами для Kubernetes

У світі хмарних додатків та мікросервісів безпека є головним пріоритетом. Одним з найважливіших аспектів захисту додатків є керування сертифікатами TLS, які використовуються для шифрування даних і забезпечення безпечного зв’язку між сервісами. Оскільки Kubernetes став стандартом де-факто для оркестрування контейнерів, керування сертифікатами TLS у цьому середовищі може бути складним завданням. Представляємо вам Cert-Manager– інструмент для Kubernetes, який спрощує керування сертифікатами, автоматизує оновлення сертифікатів та забезпечує безпечний зв’язок у вашій інфраструктурі. У цій статті ми розглянемо, що таке Cert-Manager, як він працює і чому він необхідний для сучасних середовищ Kubernetes.

Що таке Cert-Manager?

Cert-Manager – це доповнення до Kubernetes з відкритим вихідним кодом, яке автоматизує керування та оновлення сертифікатів TLS. Він легко інтегрується з Kubernetes для випуску сертифікатів для додатків, що працюють у кластері, усуваючи ручні процеси, які зазвичай потрібні для отримання та оновлення сертифікатів.

Cert-Manager може випускати сертифікати з різних джерел, включаючи Let’s Encrypt, HashiCorp Vault, Venafi та інші приватні центри сертифікації (ЦС). Він постійно відстежує термін дії сертифікатів і автоматично поновлює їх за необхідності, гарантуючи, що ваші сервіси залишатимуться захищеними без ручного втручання.

Основні можливості Cert-Manager

Cert-Manager пропонує кілька ключових функцій, які роблять його безцінним інструментом для користувачів Kubernetes:

Автоматичний випуск сертифікатів: Cert-Manager автоматично генерує сертифікати TLS на основі ресурсів Kubernetes, таких як
Ingress
або користувацькі ресурси
Certificate
. Це гарантує, що будь-які нові або оновлені сервіси у вашому кластері захищені дійсними сертифікатами.
Поновлення сертифікатів: Cert-Manager відстежує закінчення терміну дії виданих сертифікатів і автоматично поновлює їх до закінчення терміну дії, гарантуючи, що ваші програми завжди матимуть дійсні сертифікати та уникнуть простоїв.
Підтримка декількох центрів сертифікації: Cert-Manager підтримує різні центри сертифікації, включаючи безкоштовний Let’s Encrypt, загальнодоступні SSL-сертифікати, а також внутрішні та приватні центри сертифікації, надаючи вам гнучкість у виборі способу випуску сертифікатів.
Kubernetes Native: Cert-Manager інтегрується з Kubernetes нативно. Він використовує власні визначення ресурсів Kubernetes (CRD) для визначення запитів на сертифікати та керує сертифікатами як ресурсами Kubernetes.
Виклики DNS-01 і HTTP-01: Cert-Manager підтримує декілька типів викликів ACME (наприклад, DNS-01 і HTTP-01) для перевірки права власності на домен при використанні таких центрів сертифікації, як Let’s Encrypt. Ці методи автоматизують процес перевірки, роблячи випуск сертифікатів безперешкодним.
Підставні символи та багатодоменні сертифікати: Cert-Manager може випускати підстановочні сертифікати, які корисні для захисту декількох піддоменів одним сертифікатом, а також може обробляти сертифікати для декількох доменів, спрощуючи управління складними додатками.

Як працює Cert-Manager

Cert-Manager взаємодіє з ресурсами Kubernetes і зовнішніми центрами сертифікації для керування сертифікатами протягом усього їхнього життєвого циклу. Ось огляд цього процесу:

Запит на отриманнясертифіката: Cert-Manager використовує ресурс Kubernetes під назвою Certificate або Ingress для запиту сертифіката. Ці ресурси містять такі дані, як доменні імена, на які поширюватиметься сертифікат, термін дії сертифіката та емітента.
Випуск сертифіката: Cert-Manager взаємодіє з налаштованим ресурсом Issuer або ClusterIssuer, щоб запросити сертифікат у CA. Емітентом може бути Let’s Encrypt, приватний ЦС або інший підтримуваний постачальник сертифікатів.
Перевірка (виклики ACME): Якщо ви використовуєте ACME-центри, такі як Let’s Encrypt, Cert-Manager вирішить виклик, щоб підтвердити право власності на домен. Це може бути виклик HTTP-01 (шляхом надсилання токену через HTTP) або DNS-01 (шляхом створення TXT-запису DNS). Після перевірки центр сертифікації видає сертифікат.
Зберігання сертифікату: Виданий сертифікат зберігається в Kubernetes Secret, на який потім можуть посилатися інші ресурси Kubernetes (наприклад, Ingress), щоб увімкнути TLS для ваших додатків.
Моніторинг та оновлення: Cert-Manager постійно відстежує сертифікати та автоматично поновлює їх до закінчення терміну дії, гарантуючи, що ваші сервіси залишатимуться захищеними без простоїв.

Компоненти Cert-Manager

Cert-Manager складається з декількох основних компонентів, які працюють разом для керування сертифікатами в Kubernetes:

Issuer/ClusterIssuer: Ці ресурси визначають, як і звідки Cert-Manager має запитувати сертифікати. Issuer працює у межах простору імен, а ClusterIssuer – у межах усього кластера. Вони надають деталі конфігурації для взаємодії з потрібним центром сертифікації.
Сертифікат: Ресурс Certificate визначає конкретний сертифікат TLS, який має запитувати Cert-Manager. Він містить такі дані, як доменне ім’я (імена), термін дії та пов’язаний з ним емітент.
CertificateRequest: Cert-Manager використовує ресурс CertificateRequest для відстеження конкретного запиту на сертифікат. Цей ресурс автоматично створюється Cert-Manager, коли запитується новий сертифікат.
Секрет: Після того, як Cert-Manager отримує сертифікат від центру сертифікації, він зберігає сертифікат і приватний ключ у секреті Kubernetes. Потім на цей секрет можуть посилатися програми або ресурси Ingress, щоб увімкнути TLS.

Поширені випадки використання Cert-Manager

Cert-Manager широко використовується в середовищах Kubernetes для спрощення та автоматизації керування сертифікатами. Ось кілька поширених випадків використання:

1. Захист веб-додатків за допомогою HTTPS

Одним з найпопулярніших варіантів використання Cert-Manager є захист веб-додатків за допомогою HTTPS, використовуючи Let’s Encrypt для випуску SSL-сертифікатів. Cert-Manager може автоматично випускати і поновлювати сертифікати для ресурсів Kubernetes Ingress, гарантуючи, що веб-трафік буде зашифрований і захищений.

2. Автоматизація поновлення сертифікатів

Керування оновленням сертифікатів вручну може забирати багато часу та бути схильним до людських помилок. Cert-Manager автоматизує цей процес, відстежуючи дати закінчення терміну дії сертифікатів і поновлюючи їх до закінчення терміну дії, гарантуючи, що ваші сервіси не постраждають від простою через прострочені сертифікати.

3. Керування внутрішніми сертифікатами

Окрім публічних сертифікатів, Cert-Manager може керувати сертифікатами, випущеними приватними центрами сертифікації для внутрішніх додатків. Наприклад, в архітектурі мікросервісів, де сервіси взаємодіють між собою через захищену мережу, Cert-Manager може випускати та ротувати сертифікати для внутрішньої взаємодії між сервісами.

4. Підставні сертифікати

Для додатків, які використовують кілька субдоменів (наприклад, app.example.com, api.example.com), Cert-Manager може випустити один сертифікат підстановки (наприклад, *.example.com) для захисту всіх субдоменів одночасно, що спрощує управління сертифікатами.

Встановлення та налаштування Cert-Manager

Встановити Cert-Manager у кластері Kubernetes дуже просто. Нижче наведено загальні кроки для встановлення та налаштування Cert-Manager:

Крок 1: Встановлення Cert-Manager

Ви можете встановити Cert-Manager за допомогою Helm або за допомогою статичних YAML-маніфестів. Ось спосіб встановлення за допомогою Helm:

kubectl apply --validate=false -f https://github.com/cert-manager/cert-manager/releases/download/vX.Y.Z/cert-manager.crds.yaml
 helm repo add jetstack https://charts.jetstack.io
 helm repo update
 helm install cert-manager jetstack/cert-manager --namespace cert-manager --create-namespace --version vX.Y.ZЗамініть

vX.Y.Z останньою версією Cert-Manager.

Крок 2: Налаштування емітента або кластерного емітента

Щоб випускати сертифікати, вам потрібно налаштувати емітента або кластерного емітента. Наприклад, щоб налаштувати емітента для Let’s Encrypt, ви можете створити таку конфігурацію YAML:

Крок 3: Запит на отримання сертифікату

Після налаштування емітента ви можете створити ресурс сертифікатів, щоб запросити сертифікат TLS для вашої програми

Висновок

Cert-Manager – це важливий інструмент для автоматизації управління сертифікатами TLS в середовищах Kubernetes. Якщо вам потрібно захистити веб-додатки, автоматизувати оновлення сертифікатів або керувати внутрішніми сертифікатами для мікросервісів, Cert-Manager спрощує цей процес, дозволяючи вам зосередитися на створенні та масштабуванні ваших додатків. Інтегруючись з різними центрами сертифікації та пропонуючи автоматизацію на базі Kubernetes, Cert-Manager гарантує, що ваші сервіси завжди будуть захищеними та відповідатимуть найкращим галузевим практикам.