使用 Cert Manager 自动管理 Kubernetes Gateway 证书
内容提要
本文介绍了使用cert-manager自动管理Kubernetes Gateway证书的方法，提高集群入口的安全性和管理效率。cert-manager是专为Kubernetes设计的自动化证书管理工具，简化了在Kubernetes集群中使用X.509证书的过程。它支持自动颁发和续期证书，并与Kubernetes原生集成，减少了手动处理证书任务的错误和服务中断风险，提高了操作效率和系统安全性。
延伸解读
Gateway API 与 Ingress 的演进关系
文章指出 Gateway API 被认为是 Ingress API 的继任者，由 SIG-NETWORK 社区管理，自 2019 年提出后发展迅速，目前已演进到 1.0.0 版本。相比传统 Ingress，它提供了更精细、模块化的路由和网关配置方式，设计上更灵活可扩展。这意味着用户在规划集群入口方案时，可以关注 Gateway API 的成熟度，并考虑其作为未来标准的可能性。
cert-manager 的证书颁发源灵活性
cert-manager 支持多种证书颁发机构，包括自签证书、通过 ACME 使用 Let's Encrypt 等公共 CA，以及 HashiCorp Vault、RustyVault 等企业自建 CA 系统。这种灵活性使得用户可以根据实际需求选择适合的颁发源，无论是测试环境还是生产环境，都能找到匹配的证书管理方案，同时满足合规性要求。
自动轮换对安全性的实际影响
文章强调，自动化证书轮换和短期证书的使用能增强安全性。通过设置较短的证书有效期和提前续期时间，cert-manager 可以频繁更新证书。这样即使证书被窃取，攻击者能利用的时间窗口也很短。演示中证书有效期仅 60 分钟，每分钟轮换一次，直观展示了这一机制如何降低长期暴露风险。
演示环境中的关键配置与验证
在演示中，用户需要创建 ClusterIssuer 指定自签 CA，然后通过 Certificate 资源定义证书的 secretName、duration、renewBefore 等字段。创建 Gateway 时，监听器协议设为 HTTPS，TLS 模式为 Terminate，并引用证书 Secret。测试时需指定 CA 证书才能成功访问，通过 curl 的详细输出可以观察 TLS 握手和证书有效期，验证自动续期是否生效。
Q&A
什么是 cert-manager，它的主要功能是什么？
cert-manager 是一个专为 Kubernetes 设计的自动化证书管理工具，主要功能包括自动颁发、续期和管理 SSL/TLS 证书。
使用 cert-manager 管理 Kubernetes Gateway 证书有哪些优势？
使用 cert-manager 管理 Kubernetes Gateway 证书的优势包括自动化管理、集成外部 CA、安全性和合规性、以及与 Kubernetes 原生集成。
Kubernetes Gateway API 的作用是什么？
Kubernetes Gateway API 用于管理集群内部和外部流量，提供更灵活和可扩展的路由和网关配置。
如何安装 cert-manager 和 FSM Gateway？
可以通过 kubectl manifest 或 helm chart 安装 cert-manager，FSM Gateway 则通过 CLI 安装，确保 K8s 集群版本符合要求。
如何创建和管理 TLS 证书？
通过创建证书资源，cert-manager 可以自动签发和管理 TLS 证书，确保数据传输安全。
cert-manager 如何确保证书的自动续期？
cert-manager 通过监控证书资源，自动处理证书的续期和生命周期管理，确保系统持续安全。
