使用 Private CA 在 Amazon EKS 中构建企业级全链路加密连接
内容提要
Kubernetes使用数字证书提供安全身份验证和加密。cert-manager是Kubernetes的附加组件，用于管理证书生命周期。AWS Private CA是AWS的托管服务，帮助企业建立私有的公钥基础系统（PKI），签发证书来满足企业内部身份认证和构建安全网络连接的需求。本文介绍了如何在EKS中使用cert-manager和AWS Private CA Issuer签发和管理证书，并构建端到端的TLS通信。
延伸解读
为何选择 AWS Private CA 与 cert-manager 集成
对于 HIPAA、FIPS 等强合规场景，私钥不能存储在集群中。AWS Private CA 作为托管服务，将私钥保存在 AWS 侧，cert-manager 则负责在集群内请求和分发证书。这种集成既满足了合规要求，又实现了证书生命周期的自动化管理，避免了手动操作带来的过期风险。
EKS Pod Identity 简化权限管理
AWS PCA Issuer 需要调用 AWS PCA 的 API 来签发证书，因此必须获得相应权限。传统方式需要配置 IRSA 或节点角色，而 EKS Pod Identity 通过将 IAM 角色直接关联到 Service Account，简化了权限配置流程，并支持跨集群共享角色，降低了管理复杂度。
证书自动续订与端到端加密实践
cert-manager 会根据 Certificate 资源中定义的 renewBefore 参数自动续订证书，确保应用不会因证书过期而中断。在端到端加密示例中，NLB 将 TLS 流量透传给后端 Nginx，由 Nginx 使用挂载的证书完成握手，实现了从客户端到 Pod 的全链路加密，避免了负载均衡器卸载 TLS 带来的安全边界模糊问题。
Q&A
如何在 Amazon EKS 中使用 cert-manager 管理证书？
在 EKS 中使用 cert-manager 管理证书需要安装 cert-manager，并通过它请求、分发和自动续订证书。
AWS Private CA 是什么，它的主要功能是什么？
AWS Private CA 是 AWS 的托管服务，帮助企业建立私有的公钥基础设施（PKI），用于签发证书以满足内部身份认证和安全网络连接的需求。
在 EKS 中创建集群的先决条件有哪些？
创建 EKS 集群的先决条件包括安装 AWSCLI、eksctl、kubectl 和 helm，并配置相应的权限。
如何在 EKS 中安装 AWS Private CA Issuer？
可以使用 helm 在 EKS 中安装 AWS Private CA Issuer，通过命令创建命名空间并安装插件。
如何在 cert-manager 中签发证书？
在 cert-manager 中，可以创建一个自定义资源 Certificate，并指定 IssuerRef 来处理证书签发请求。
在 EKS 中如何构建端到端的 TLS 加密应用？
在 EKS 中构建端到端的 TLS 加密应用需要使用 cert-manager 签发证书，并通过 nginx 和 AWS Load Balancer Controller 暴露服务。
