[Cert manager] Tìm hiểu cách sử cert-manager để create ssl cho website sử dụng ingress nginx.

Bài này thiên về việc tìm hiểu cert-manager hoạt động ntn.
Mô hình của mình sẽ giống mô hình chuẩn công ty hay nhiều ip public

Để thực hiện được bài này thì điều kiên quyết là bạn cận có 1 public ip và 1 port 80 nhé

Vậy giờ mình muốn test cert-manager

Mình sẽ get cert ssl của letsencrypt nên chúng cần tìm hiểu “challenge-types” để nhận được cert ssl nhé
Link bên dưới:

https://letsencrypt.org/docs/challenge-types/
nếu bạn sử dụng google, aws, azure thì mình nghĩ là nên chơi DNS-01 challenge, tại sao đọc link trên và search thêm trên mạng
Còn mình sài on-premise thì mình chọn HTTP-01 challenge

Bạn có thể tưởng tượng là khi bạn đăng ký ssl cho trang nimtechnology.com thì letsencrypt sẽ check sem trang web này có tồn tại ngoài internet ko? đấy là HTTP-01 challenge

Chúng ta sẽ download các file yaml của cert-manager:

https://github.com/jetstack/cert-manager/releases

Tạo namespace:

Deploy thôi

show các components cert-manager

Giờ action cho workload thôi

Bạn cần có file ClusterIssuer và apply nhé, ko yêu cầu namespace.

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  #Bạn có thể change ở đây
  name: letsencrypt-staging
spec:
  acme:
    server: https://acme-staging-v02.api.letsencrypt.org/directory
    #điền email của bạn vào
    email: mr.nim94@gmail.com
    privateKeySecretRef:
      #Bạn có thể change ở đây
      name: letsencrypt-staging
    solvers:
      - http01:
          ingress:
            class: nginx

Link dưới để bạn tìm hiều về ClusterIssuer
https://docs.cert-manager.io/en/release-0.8/tasks/issuers/index.html

Đăng ký tài khoản noip và tạo 1 domain

Xong mình lên Kong cấu hình cho gọi vào ingress-nginx, về Kong chắc mình hướng ở post khác he

Giờ bạn cấu hình deployment, service như bình thường nhưng ingress sẽ có thứ đặc biệt

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app
spec:
  replicas: 1
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
        - name: my-app
          image: wordpress:latest
          ports:
            - containerPort: 80
 
---

apiVersion: v1
kind: Service
metadata:
  name: my-service
spec:
  selector:
    app: my-app
  ports:
    - port: 80

apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: my-ingress
  annotations:
    kubernetes.io/ingress.class: nginx
    #điền tên cluster issuer
    cert-manager.io/cluster-issuer: letsencrypt-staging
spec:
  rules:
    #điền domain của web dô
    - host: test-cert.ddnsking.com
      http:
        paths:
          - path: /
            backend:
              serviceName: my-service
              servicePort: 80
  tls:
    - hosts:
      #điền domain của web dô
      - test-cert.ddnsking.com
      #secretName bạn đặt j cũng được
      secretName: example-tls

Apply và sem điều j xảy ra

Các thư trên là cert-manager tạo ra để recheck web site của bạn có pass được HTTP-01 challenge
Ở trên là mình chỉnh site domain, thì mới có thể thấy mấy resource nó tạo ra. Chứ nó nhanh lắm

Ví như bạn tạo chờ một lúc mà mấy cái trên hình ko mất đi thì bạn bị lỗi rồi đó.

Link dưới để debug lỗi he, tiện debug chơi nào
https://cert-manager.io/docs/faq/acme/

kubectl describe clusterissuer

kubectl describe certificaterequest

kubectl describe challenge

kubectl describe certificates

Dùng command để test
wget --save-headers -O- test-cert.ddnsking.com

Này giờ bạn để ý config ở trên là dành cho môi trường Staging

https://www.cloudsavvyit.com/14069/how-to-install-kubernetes-cert-manager-and-configure-lets-encrypt/

theo như docx trên.

Using Let’s Encrypt in Production

Once you’ve successfully acquired a staging certificate, you can migrate to the Let’s Encrypt production servers. Staging certificates are valid but not trusted by browsers so you must get a production replacement before putting your site live.

It’s best to add a separate cluster issuer for the production server. You can then reference the appropriate issuer in each of your Ingress resources, depending on whether they’re production-ready.

Copy the issuer configuration shown above and change the name fields to letsencrypt-production. Next, replace the server URL with the value shown below:

https://acme-v02.api.letsencrypt.org/directory

Create the new issuer in your cluster:

kubectl create -f issuer-production.yml

Update your Ingress resource to request a production certificate by changing the value of the cert-manager.io/cluster-issuer annotation to letsencrypt-production (or the name you assigned to your own production issuer). Use kubectl to apply the change:

kubectl apply -f my-ingress.yaml

You should now have fully functioning HTTPS enabled for your Ingress resource. Cert-Manager will automatically manage your certificates and renew them before they expire.