Как использовать подстановочные сертификаты от Let's Encrypt с cert-manager

Я создал два файла: один для ClusterIssuer, а второй - для сертификата. Мой домен - это example.com, и мне нужно создать новый поддомен с подстановочным знаком *.testing.example.com, и я уже создал запись в Route53 с именем *.testing.example.com с записью A и сопоставленной с nlb.

Ниже приведен мой профиль, который мне подходит, но я получаю сообщение об ошибке: "msg" = "проверка распространения не удалась" "error" = "DNS-запись для \" testing.example.com \ "еще не распространена"

ClusterIssuer.yaml

apiVersion: cert-manager.io/v1alpha2
kind: ClusterIssuer
metadata:
  name: letsencrypt-prod
spec:
  acme:
    # The ACME server URL
    server: https://acme-v02.api.letsencrypt.org/directory
    # Email address used for ACME registration
    email: [email protected]
    privateKeySecretRef:
            name: letsencrypt-prod
    solvers:
    # example: cross-account zone management for example.com
    # this solver uses ambient credentials (i.e. inferred from the environment or EC2 Metadata Service)
    # to assume a role in a different account
    - selector:
        dnsZones:
          - "example.com"
      dns01:
        route53:
          region: ap-south-1
          hostedZoneID: 71MYVttggee
          role: arn:aws:iam::123456:role/dns-manager




Certificate.yaml

apiVersion: cert-manager.io/v1alpha2
kind: Certificate
metadata:
  name: example-cert
spec:
  secretName: acme-crt
  issuerRef:
    kind: ClusterIssuer
    name: letsencrypt-prod
  commonName: testing.example.com
  dnsNames:
    - '*.testing.example.com'
  acme:
    config:
    - dns01:
        provider: route53
      domains:
        - '*.testing.example.com'

kubernetes amazon-eks cert-manager lets-encrypt
person me25    schedule 13.03.2020    source источник
comment
Вы видите проверочные записи, созданные в вашей Зоне? Зарегистрируйтесь в консоли R53.   -  person coderanger    schedule 13.03.2020
comment
да, проверочные записи (TXT) созданы в моей Зоне?   -  person me25    schedule 13.03.2020
comment
Тогда вам просто нужно немного подождать, пока они распространятся, как говорится в журнале.   -  person coderanger    schedule 13.03.2020
comment
Какие-то конкретные сроки? Сколько времени обычно требуется?   -  person me25    schedule 13.03.2020
comment
Это зависит от TTL вашей зоны, но обычно находится в диапазоне 30-60 минут.   -  person coderanger    schedule 13.03.2020
comment
@ me25 помогло ли ожидание решить проблему?   -  person Black_Bacardi    schedule 25.03.2020
comment
да, проблема решена, этих файлов 100 правильных. Проблема с моей DNS ZONE   -  person me25    schedule 27.03.2020

Ответы (2)


arrow_upward
0
arrow_downward

То, что у вас есть, правильно, вам просто нужно дождаться распространения DNS, чтобы записи проверки могли быть проверены LetsEncrypt.

person coderanger    schedule 13.03.2020
comment
но журнал говорит, что проверка распространения msg = не удалась? тогда мне еще нужно подождать? - person me25; 13.03.2020

arrow_upward
0
arrow_downward

Вы должны использовать метод DNS-01 для проверки подлинности.

Вы можете использовать issuer

https://cert-manager.io/docs/configuration/acme/dns01/ < / а>

однако вы также должны создать друг друга YAML для сертификата

apiVersion: cert-manager.io/v1alpha2
kind: Certificate
metadata:
  name: le-crt
spec:
  secretName: tls-secret
  issuerRef: 
    kind: Issuer
    name: letsencrypt-prod
  commonName: "*.example.in"
  dnsNames:
    - "*.example.in"

Вышеупомянутый сертификат yaml будет указывать на создателя, который вы создали, и когда вы получите сертификат, он будет сохранен в секретном имени kubernetes как: tls-secret

Вы можете ввести или использовать этот секрет на ingress.

Кроме того, если вы столкнулись с ошибкой 403 записи CAA, добавьте запись CAA в DNS zone, сначала мы добавляем запись A или CNAME.

Для получения дополнительной информации: https://stackoverflow.com/a/68476135/5525824

person Harsh Manvar    schedule 21.07.2021