Ilmus cert-manager 1.0

Kui küsida kogenud tarkvarainsenerilt, mida ta arvab cert-manager'ist ja miks kõik seda kasutavad, siis spetsialist ohkab, kallistab usalduslikult ja väsinult ütleb: „Kasutavad seda, kuna mõistlikke alternatiive pole. Meie hiired nutavad, kuid elavad edasi selle kaktuse kõrval. Miks me armastame? Sest see töötab. Miks me ei armasta? Sest pidevalt ilmuvad uued versioonid, mis kasutavad uusi funktsioone. Ja tuleb järjest uuendada klastrit. Vanad versioonid lakavad töötamast, kuna toimub salajane ja suur müstiline šamanism.“

Aga arendajad väidavad, et cert-manager 1.0 muudab kõike.

Kas usume?

Cert-manager on Kubernetes'i sertifikaatide haldajakontroller. Selle abil saab väljastada sertifikaate erinevatest allikatest: Let’s Encrypt, HashiCorp Vault, Venafi, paarid võtmeid allkirjastamiseks ja isekirjutatud sertifikaate. See toetab ka võtmete kehtivust ja püüab automaatselt uuendada sertifikaate enne nende aegumist. Cert-manager põhineb kube-legol ja kasutas sarnaste projektide, näiteks kube-cert-manager, meetodeid.

Väljalaske märkmed

Versiooniga 1.0 paneme usaldusmargi kolme aasta cert-manager'i projekti arendusele. Sel ajal on see oluliselt arenenud funktsionaalsuse ja stabiilsuse osas, kuid kõige rohkem — kogukonnas. Täna näeme, kui paljud inimesed kasutavad seda oma Kubernetes'i klastrite kaitsmiseks ning rakendavad seda erinevates ökosüsteemi osades. Viimases 16 väljaandes on parandatud hulk vigu. Ja see, mis pidi purunema — on purustatud. Mitmed lähenemised API-le on parandanud selle koostoimet kasutajatega. Oleme lahendanud 1500 probleemi GitHub'is ja 253 kogukonna liikme hulgast on tulnud veelgi rohkem ühendamise taotlusi.

Väljastades 1.0, kuulutame ametlikult, et cert-manager on küps projekt. Samuti lubame toetada meie API ühilduvust. v1.

Suur tänu kõigile, kes on meid aidanud luua cert-manager'it nende kolme aasta jooksul! Loodame, et versioon 1.0 on esimene paljusid tulevasi suuri saavutusi.

Väljaanne 1.0 on stabiilne väljund mitmete prioriteetsete suundadega:

• v1 API;

• Meeskond kubectl cert-manager status, probleemide analüüsi abistamiseks;

• Kubernetes'i uusimate stabiilsete API-de kasutamine;

• Parandatud logimine;

• ACME parendused.

Enne värskendamist lugege kindlasti uuenduste märkmeid.

API v1

Versioon v0.16 töötas koos API-ga v1beta1. See tõi endaga kaasa teatud struktuurimuudatused ning parandas API väljade dokumentatsiooni. Versioon 1.0 toetub kõik sellele API-le v1. See API on meie esimene stabiilne versioon, samal ajal oleme me juba andnud ühilduvuse garantiisid, kuid API-ga v1 me lubame toetada ühilduvust aastaid ette.

Tehtud muudatused (märkuseks: meie konverteerimistooted hoolitsevad kõikide selle eest):

Sertifikaat:

• emailSANs nüüd nimetatakse emailAddresses

• uriSANs — uris

Need muudatused lisavad ühilduvuse teiste SAN-idega (teema alternatiivsed nimed, tõlkija märkus), samuti Go API-ga. Me eemaldame selle termini meie API-st.

Upgrade

Kui kasutate Kubernetes 1.16+ — konverteerimisveebihookid võimaldavad teil samal ajal ja sujuvalt töötada API versioonidega v1alpha2, v1alpha3, v1beta1 ja v1. Nende abil saate kasutada uut API versiooni ilma, et peaksite oma vanu ressursse muutma või ümber paigutama. Soovitame tungivalt värskendada manifestide versioonidele API v1, kuna varasemad versioonid kuulutatakse peagi aegunuks. Kasutajad legacy cert-manager versioonidel saavad endiselt ligipääsu ainult v1, värskendamise sammud leiate siin.

Meeskond kubectl cert-manager status

Uute täiustustega meie laienduses on kubectl lihtsam uurida probleeme, mis on seotud sertifikaatide mitteväljastamisega. kubectl cert-manager status nüüd väljastab palju rohkem teavet selle kohta, mis sertifikaatidega toimub, ning näitab sertifikaadi väljastamise etappi.

Pärast laienduse installimist saate käivitada kubectl cert-manager status certificate, mis otsib antud nimega sertifikaati ja kõiki seotud ressursse, näiteks CertificateRequest, Secret, Issuer, ning Order ja Challenges ACME sertifikaatide kasutamisel.

Probleemi tõrkeotsinguks veel valmis sertifikaadi näide:

$ kubectl cert-manager status certificate acme-certificate

Nimi: acme-certificate
Nimi ruumis: default
Loodud: 2020-08-21T16:44:13+02:00
Seisundid:
  Valmis: False, Põhjus: DoesNotExist, Teade: Sertifikaadi väljaandmine, kuna saladust ei eksisteeri
  Väljaandmine: True, Põhjus: DoesNotExist, Teade: Sertifikaadi väljaandmine, kuna saladust ei eksisteeri
DNS-nimed:
- example.com
Sündmused:
  Tüüp    Põhjus     Vanus   Kust          Teade
  ----    ------     ----  ----          -------
  Normaalselt  Väljaandmine    18m   cert-manager  Sertifikaadi väljastamine, kuna saladust ei eksisteeri
  Normaalselt  Genereeritud  18m   cert-manager  Salvestas uue privaatvõtme ajutisse saladuse ressursse "acme-certificate-tr8b2"
  Normaalselt  Nõutud  18m   cert-manager  Loodi uus CertificateRequest ressurs "acme-certificate-qp5dm"
Väljaandja:
  Nimi: acme-issuer
  Tüüp: Väljaandja
  Seisundid:
    Valmis: True, Põhjus: ACMEAccountRegistered, Teade: ACME konto on registreeritud ACME serveris
viga saladuse "acme-tls" leidmisel: saladused "acme-tls" ei leitud
Alates: 
Kuni: 
Uuendamise aeg: 
CertificateRequest:
  Nimi: acme-certificate-qp5dm
  Nimi ruumis: default
  Seisundid:
    Valmis: False, Põhjus: Ootel, Teade: Ootab sertifikaadi väljaandmist korraldusse default/acme-certificate-qp5dm-1319513028: "ootel"
  Sündmused:
    Tüüp    Põhjus        Vanus   Kust          Teade
    ----    ------        ----  ----          -------
    Normaalselt  TellimusLoodud  18m   cert-manager  Loodi Tellimuse ressurs default/acme-certificate-qp5dm-1319513028
Tellimus:
  Nimi: acme-certificate-qp5dm-1319513028
  Oleku: ootel, Põhjus:
  Volitused:
    URL: https://acme-staging-v02.api.letsencrypt.org/acme/authz-v3/97777571, Identifikaator: example.com, Algne olek: ootel, Wildcard: false
Väljakutsed:
- Nimi: acme-certificate-qp5dm-1319513028-1825664779, Tüüp: DNS-01, Token: J-lOZ39yNDQLZTtP_ZyrYojDqjutMAJOxCL1AkOEZWw, Võti: U_W3gGV2KWgIUonlO2me3rvvEOTrfTb-L5s0V1TJMCw, Oleku: ootel, Põhjus: viga clouddns teenuse konto leidmisel: saladus "clouddns-accoun" ei leitud, Töötlemine: true, Esitamine: false

Käsk võib samuti aidata koguda lisainfot sertifikaadi sisu kohta. Näide detailide kohta Letscrypti väljastatud sertifikaadi jaoks:

$ kubectl cert-manager status certificate example
Nimi: example
[...]
Saladus:
  Nimi: example
  Väljaandja Riik: US
  Väljaandja Organisatsioon: Let's Encrypt
  Väljaandja Ühine Nimi: Let's Encrypt Authority X3
  Võtme Kasutamine: Digitaalne allkiri, Võtme krüpteerimine
  Laiendatud Võtme Kasutused: Serveri autentimine, Kliendi autentimine
  Avaliku Võtme Algoritm: RSA
  Allkirjastamisalgoritm: SHA256-RSA
  Teema Võtme ID: 65081d98a9870764590829b88c53240571997862
  Autoriteedi Võtme ID: a84a6a63047dddbae6d139b7a64565eff3a8eca1
  Seerianumber: 0462ffaa887ea17797e0057ca81d7ba2a6fb
  Sündmused:  
Alates: 2020-06-02T04:29:56+02:00
Kuni: 2020-08-31T04:29:56+02:00
Uuendamise aeg: 2020-08-01T04:29:56+02:00
[...]

Uute stabiilsete Kubernetes API-de kasutamine

Cert-manager oli üks esimesi, kes rakendas Kubernetes CRD-sid. See, samuti meie toetus Kubernetesi versioonidele kuni 1.11, on viinud meid selleni, et tuli toetada vananenud apiextensions.k8s.io/v1beta1 meie CRD-de jaoks, samuti admissionregistration.k8s.io/v1beta1 meie webhooks'i jaoks. Need on nüüd vananenud ja neid eemaldatakse Kubernetes'is alates versioonist 1.22. Meie 1.0 versiooniga pakume nüüd täielikku tuge apiextensions.k8s.io/v1 ja admissionregistration.k8s.io/v1 Kubernetes 1.16 jaoks (kus need lisati) ja uuemate jaoks. Eelmiste versioonide kasutajatele pakume jätkuvalt tuge v1beta1 meie legacy versioon.

Parandatud logimine

Selles versioonis oleme uuendanud logimisraamatukogu versioonile klog/v2, mida kasutatakse Kubernetes 1.19-s. Kontrollime ka iga logi, mida kirjutame, et määrata sellele õige tase. Juhindus oli meil Kubernetes'i juhendist. Logimise tasemeid on viis (täpselt kuus, tõlkija märkus) alates Error (tase 0), mis kuvab ainult olulised vead, kuni Trace (tase 5), mis aitab täpselt aru saada, mis toimub. Selle muudatusega oleme vähendanud logide arvu, kui te ei vaja tõrkeotsingu teavet cert-manageri töötamisel.

Nõuanne: vaikimisi töötab cert-manager tasemel 2 (Info), saate selle üle kirjutada, kasutades global.logLevel Helm chartis.

Märkus: logide vaatamine on viimase abinõuna tõrkeotsingul. Lisainfot leiate meie juhendit.

N.B. toimetaja: Et rohkem teada saada, kuidas see kõik Kubernetes'i all töötab, saada väärtuslikke nõuandeid praktikute koolitajatelt ning kvaliteetset tehnilist tuge, saate osaleda veebiseminarides Kubernetes Põhi, mis toimub 28.–30. septembril, ning Kubernetes Mega, mis toimub 14.–16. oktoobril.

ACME täiustused

Tavaliselt seostatakse cert-managerit Let’s Encrypt sertifikaatide väljastamisega, kasutades ACME-d. Versioon 1.0 on tuntud kogukonna tagasiside alusel kahe väikese, kuid olulise täiustuse lisamise poolest meie ACME issuerisse.

Konto võtme loomise keelamine

Kui kasutate ACME sertifikaate suures mahus, kasutate tõenäoliselt sama kontot mitmes klastris, mistõttu kehtivad teie sertifikaatide väljastamise piirangud kõigi jaoks. See oli juba võimalik cert-manageris, kui kopeerisite sekreedid, mis olid määratud privateKeySecretRef. See kasutusjuht oli piisavalt tõrkevaba, kuna cert-manager üritas olla kasulik ja rõõmsalt lõi uue konto võtme, kui seda ei leitud. Seetõttu lisasime disableAccountKeyGeneration, et kaitsta teid sellise käitumise eest, kui seate selle parameetri true — cert-manager ei loo võtit ja hoiatab teid, et kontovõtit ei ole antud.

apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
  name: letsencrypt
spec:
  acme:
    privateKeySecretRef:
      name: example-issuer-account-key
    disableAccountKeyGeneration: false

Eelistatud ahel

29. september Let’s Encrypt liigub omaenda juuresertifikaadi keskusesse ISRG Root. Ristallkirjad asendatakse Identrust. See muudatus ei nõua mingeid muudatusi cert-manageri seadetes, kõik pärast seda kuupäeva välja antud uuendatud või uued sertifikaadid saavad uue juure CA.

Let’s Encrypt väljastab juba sertifikaate selle CA kaudu ja pakub neid kui "alternatiivset sertifikaadi ahelat" ACME kaudu. Selles versioonis cert-manageris on võimalik määrata juurdepääsu nendele ahelatele issueri seadetes. Parameetris preferredChain võite määrata CA nime, millega sertifikaat välja antakse. Kui teie päringule vastav CA sertifikaat on saadaval, väljastatakse teile sertifikaat. Pange tähele, et see on eelistatud variant, kui midagi ei leita, antakse välja vaikimisi sertifikaat. See tagab, et te ikkagi uuendate oma sertifikaati, kui alternatiivne ahel eemaldatakse ACME issueri poolel.

Juba täna saab hankida sertifikaate, mille on allkirjastanud ISRG Root, järgnevate kaudu:

apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
  name: letsencrypt
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    preferredChain: "ISRG Root X1"

Kui soovite jätta ahela IdenTrust — seate selle parameetri DST Root CA X3:

apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
  name: letsencrypt
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    preferredChain: "DST Root CA X3"

Pange tähele, et see juuresertifikaadi keskus jääb peagi ajalukku, Let’s Encrypt toetab seda ahelat kuni 29. septembrini 2021.

Allikas: habr.com