kubernetes - 如何通过 cert-manager 使用 Let's Encrypt 的通配符证书

Question

我创建了两个文件，一个用于 ClusterIssuer，第二个用于证书。我的域是一个 example.com，我需要使用通配符创建一个新的子域，*.testing.example.com并且我已经在 Route53 中创建了一个*.testing.example.com使用 A 记录调用并使用 nlb 映射的条目。

以下是我的个人资料，这对我有好处，但我收到错误“msg”=“传播检查失败”“error”=“\“testing.example.com\”的 DNS 记录“尚未传播”

ClusterIssuer.yaml

apiVersion: cert-manager.io/v1alpha2
kind: ClusterIssuer
metadata:
  name: letsencrypt-prod
spec:
  acme:
    # The ACME server URL
    server: https://acme-v02.api.letsencrypt.org/directory
    # Email address used for ACME registration
    email: devops@example.com
    privateKeySecretRef:
            name: letsencrypt-prod
    solvers:
    # example: cross-account zone management for example.com
    # this solver uses ambient credentials (i.e. inferred from the environment or EC2 Metadata Service)
    # to assume a role in a different account
    - selector:
        dnsZones:
          - "example.com"
      dns01:
        route53:
          region: ap-south-1
          hostedZoneID: 71MYVttggee
          role: arn:aws:iam::123456:role/dns-manager

Certificate.yaml

apiVersion: cert-manager.io/v1alpha2
kind: Certificate
metadata:
  name: example-cert
spec:
  secretName: acme-crt
  issuerRef:
    kind: ClusterIssuer
    name: letsencrypt-prod
  commonName: testing.example.com
  dnsNames:
    - '*.testing.example.com'
  acme:
    config:
    - dns01:
        provider: route53
      domains:
        - '*.testing.example.com'

Answer 1

您必须使用 DNS-01 的方法进行验证身份验证。

您可以使用issuer

https://cert-manager.io/docs/configuration/acme/dns01/

但是，您还必须为证书创建另一个 YAML

apiVersion: cert-manager.io/v1alpha2
kind: Certificate
metadata:
  name: le-crt
spec:
  secretName: tls-secret
  issuerRef: 
    kind: Issuer
    name: letsencrypt-prod
  commonName: "*.example.in"
  dnsNames:
    - "*.example.in"

上面的 yaml 证书将指向您创建的颁发者，当您获得证书时，它将被存储到 kubernetes 秘密名称中：tls-secret

您可以在ingress.

此外，如果您遇到403记录错误，请在我们添加or记录CAA的第一个添加 CAA记录。DNS zoneACNAME

更多参考：https ://stackoverflow.com/a/68476135/5525824

Answer 2

您所拥有的是正确的，您只需要等待 DNS 传播，以便 LetsEncrypt 可以检查验证记录。