Модуль управления TLS-сертификатами (shturval-cert-manager)

О сервисе #

Назначение #

shturval-cert-manager — контроллер TLS-сертификатов приложений и компонентов в кластере на базе Cert-Manager. Модуль обеспечивает:

• создание и обновление сертификатов;
• продление сертификатов до истечения срока действия;
• отзыв сертификатов.

Критически важный сервис для платформы «Штурвал», недоступен для отключения. Устанавливается по умолчанию в кластер управления и в клиентские кластеры.

Особенности #

• Автоматическое получение сертификатов от Let’s Encrypt или корпоративного CA;
• Поддержка ClusterIssuer и Issuer;
• Интеграция с Ingress для автоматического TLS. Формирование commonName для сертификатов Ingress см. на странице Особенности FQDN или VIP для KubeAPI и Ingress.

Развёртывание и управление #

shturval-cert-manager — критический сервис платформы. В платформе «Штурвал» его включение и жизненный цикл в кластере обеспечивает cluster-manager (сервис платформы); объекты ShturvalServiceConfig (SSC) для связанных чартов создаются и сопровождаются как часть платформенной конфигурации, а не как произвольная ручная установка Helm-чарта администратором.

В рабочей среде модуль представлен двумя SSC:

• shturval-cert-manager-crds — чарт CRD (определения Issuer, ClusterIssuer и др.);
• shturval-cert-manager — основной чарт cert-manager.

Обратите внимание! порядок развёртывания на уровне платформы должен учитывать зависимость: сначала должны быть установлены CRD (shturval-cert-manager-crds), затем основной контроллер (shturval-cert-manager). Иначе Kubernetes не сможет создавать кастомные ресурсы cert-manager, пока их типы не зарегистрированы в кластере.

Рекомендация: не правьте объект ShturvalServiceConfig вручную для смены лимитов, nodeSelector и прочих параметров релиза — такой объект относится к платформенной конфигурации и может быть перезаписан при обновлениях. Изменения поведения сервиса вносите через ShturvalServicePatch (SSP), накладывающий spec.customvalues поверх базового SSC.

Ниже в разделе Где настраивать описан переход к управлению уже развёрнутым сервисом в интерфейсе; этот блок не дублирует полный сценарий развёртывания через UI/API cluster-manager.

Где настраивать #

Сервисы и репозитории → Установленные сервисы → найдите Модуль управления TLS-сертификатами (shturval-cert-manager) → Управлять.

Для корректной работы в кластере должен быть установлен и включён Компонент создания ресурсов для модуля управления TLS-сертификатами (shturval-cert-manager-crds). Отслеживание сроков действия сертификатов API Kubernetes — в Модуле проверки сертификатов API Kubernetes (shturval-cert-expiration).

Подробнее о настройке ClusterIssuer, Issuer — Управление сертификатами. Официальная документация: cert-manager.