aethercert
Linux und Container

Automatische TLS-Secrets für Kubernetes

Das Kubernetes-Paket schreibt jedes erneuerte Zertifikat samt Schlüssel in ein TLS-Secret im gewählten Namespace. Ingress-Controller und Workloads, die das Secret referenzieren, nutzen das neue Zertifikat.

Kostenlos starten Anleitung zum manuellen Austausch
Die im Manifest dieses Pakets definierten Bereitstellungsschritte.

Auf einen Blick

Paket
kubernetes-target 2.0.0
Kompatibilität
Kubernetes API Server >=1.22 <2.0
Ausgeführt von
Jeder Windows- oder Linux-Agent mit Netzwerkzugriff darauf
Mechanismus
REST-API
Authentifizierung
Bearer-Token
Fähigkeiten
Zertifikat und Schlüssel importieren
Bereitstellungsschritte
upsertSecret
Rollback
Keiner
Schlüsselverwendung
Keine Anforderung

Was es leistet

Ein Agent mit Zugriff auf den API-Server des Clusters legt das TLS-Secret bei der Erstausstellung an und aktualisiert es bei der Erneuerung. Er authentifiziert sich mit einem Service-Account-Token, das nur get und patch auf Secrets in diesem Namespace braucht.

So gelangen Zertifikate von Zertifizierungsstellen ohne clusterinterne Anbindung - AD CS über den CA Connector, eine REST-CA - in den Cluster, neben dem Rest Ihrer Flotte.

So läuft es ab

  1. 01

    upsertSecret

    Das kubernetes.io/tls-Secret wird mit Zertifikat und Schlüssel angelegt oder aktualisiert.

Was Sie konfigurieren

  • Host und Port des API-Servers
  • Namespace (Standard: default)
  • Name des Secrets
  • Service-Account-Token (verschlüsselt gespeichert)

Voraussetzungen

  • Ein Agent mit Netzwerkzugriff auf den Kubernetes-API-Server
  • Ein Service-Account mit get und patch auf Secrets im Namespace

Einschränkungen

  • Ein Secret pro Deploy-Ziel.
  • Workloads, die das Zertifikat nur beim Start lesen, brauchen einen eigenen Neustartmechanismus.

Manuell erledigen

Die Dokumentation enthält eine Schritt-für-Schritt-Anleitung für den manuellen Austausch dieses Zertifikats - hilfreich für die Erstinstallation oder um genau zu sehen, was das Paket automatisiert.

Anleitung zum manuellen Austausch

Verwandte Funktionen

ZertifikatsbereitstellungErneuerte Zertifikate in IIS, Exchange, NetScaler und weitere Ziele installieren.Automatische ErneuerungPlanmäßig erneuern über ACME, AD CS oder eine kommerzielle CA.Target RegistrySignierte, versionierte Bereitstellungspakete - auch eigene.

Lösungen

47-Tage-ZertifikateErneuern und bereitstellen, bevor kürzere Laufzeiten manuelle Abläufe sprengen.Private CA und AD CSZertifikate aus AD CS, step-ca oder einer REST-CA automatisieren.

Mehr in Linux und Container

nginxDateien schreiben, nginx neu laden, ausgeliefertes Zertifikat prüfen.Linux servers (Apache, Postfix, Dovecot)PEM-Dateien schreiben und jeden systemd-Dienst neu laden.Docker containersIn den Container kopieren, dann Signal oder Neustart.

Alle Integrationen

Dokumentation

Häufige Fragen

Kubernetes

Ersetzt das cert-manager?

Es löst einen anderen Fall: eine Steuerungsebene für Zertifikate über Server, Appliances und Cluster hinweg, auch mit Zertifizierungsstellen, die cert-manager nicht erreicht - etwa AD CS über den CA Connector.

Welche Rechte braucht das Token?

get und patch auf Secrets im konfigurierten Namespace.

Kubernetes automatisieren

Agent registrieren, Paket zuweisen - die nächste Erneuerung installiert sich selbst.

Kostenlos starten Alle Integrationen

Community-Tarif, keine Zahlungsdaten nötig. Offene Registrierung – Ihr Konto ist in wenigen Minuten eingerichtet.