Operator 的 cert-manager

必要條件

• 支援的 Kubernetes 版本。

• 已安裝 kustomize

• 對您的 k8s 叢集的 kubectl 存取權

• 完成 設定 cert-manager 的步驟

• MinIO Operator 必須尚未安裝。

1) 為 minio-operator 命名空間建立 CA 發行者

本指南會停用 MinIO Operator 中的憑證自動產生功能，並改為使用 cert-manager 發行憑證。

minio-operator 命名空間必須有自己的憑證授權單位 (CA)，此授權單位衍生自 cert-manager 設定 期間建立的叢集 ClusterIssuer 憑證。使用 cert-manager 建立此 CA 憑證。

1. 如果不存在，請建立 minio-operator 命名空間

   kubectl create ns minio-operator
   

2. 要求新的憑證，並指定 spec.isCA: true。

   此憑證作為 minio-operator 命名空間的 CA。

   建立一個名為 operator-ca-tls-secret.yaml 的檔案，其中包含以下內容

   # operator-ca-tls-secret.yaml
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: minio-operator-ca-certificate
     namespace: minio-operator
   spec:
     isCA: true
     commonName: operator
     secretName: operator-ca-tls
     duration: 70128h # 8y
     privateKey:
       algorithm: ECDSA
       size: 256
     issuerRef:
       name: selfsigned-root
       kind: ClusterIssuer
       group: cert-manager.io
   

   重要事項

   spec.issueRef.name 必須與設定 cert-manager 時建立的 ClusterIssuer 名稱相符。如果您指定了不同的 ClusterIssuer 名稱，或是使用與指南中不同的 Issuer，請修改 issuerRef 以符合您的環境。

3. 套用資源

   kubectl apply -f operator-ca-tls-secret.yaml
   

Kubernetes 會在 minio-operator 命名空間中建立一個名為 operator-ca-tls 的新密鑰。

2) 使用密鑰建立 Issuer

使用 operator-ca-tls 密鑰為 minio-operator 命名空間新增一個 Issuer 資源。

1. 建立一個名為 operator-ca-issuer.yaml 的檔案，內容如下

   # operator-ca-issuer.yaml
   apiVersion: cert-manager.io/v1
   kind: Issuer
   metadata:
     name: minio-operator-ca-issuer
     namespace: minio-operator
   spec:
     ca:
       secretName: operator-ca-tls
   

2. 套用資源

   kubectl apply -f operator-ca-issuer.yaml
   

3) 建立 TLS 憑證

現在 Issuer 已經存在於 minio-operator 命名空間中，cert-manager 可以新增憑證。

來自 cert-manager 的憑證必須適用於以下 DNS 網域

• sts

• sts.minio-operator.svc.

• sts.minio-operator.svc.<cluster domain>

  重要事項

  請將 <cluster domain> 替換為您 MinIO 租戶的實際值。cluster domain 是您的 Kubernetes 叢集中指定的內部根 DNS 網域。通常，這是 cluster.local，但請檢查您的 CoreDNS 設定，確認您的 Kubernetes 叢集的正確值。

  例如

  kubectl get configmap coredns -n kube-system -o jsonpath="{.data}"
  

  不同的 Kubernetes 提供者管理根網域的方式不同。請向您的 Kubernetes 提供者查詢更多資訊。

1. 為指定的網域建立一個 Certificate

   建立一個名為 sts-tls-certificate.yaml 的檔案，內容如下

   # sts-tls-certificate.yaml
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: sts-certmanager-cert
     namespace: minio-operator
   spec:
     dnsNames:
       - sts
       - sts.minio-operator.svc
       - sts.minio-operator.svc.cluster.local # Replace cluster.local with the value for your domain.
     secretName: sts-tls
     issuerRef:
       name: minio-operator-ca-issuer
   

   重要事項

   spec.secretName 不是可選的。

   密鑰名稱**必須**是 sts-tls。請設定 spec.secretName: sts-tls 來確認，如憑證 YAML 中所強調顯示。

2. 套用資源

   kubectl apply -f sts-tls-certificate.yaml
   

這會在 minio-operator 命名空間中建立一個名為 sts-tls 的密鑰。

4) 安裝禁用 Auto TLS 的 Operator

您現在可以安裝 MinIO Operator。

在安裝 Operator 部署時，請在 minio-operator 容器中將 OPERATOR_STS_AUTO_TLS_ENABLED 環境變數設定為 off。

禁用此環境變數可以防止 MinIO Operator 發出憑證。相反地，Operator 依靠 cert-manager 來發出 TLS 憑證。

根據您安裝 Operator 的方式，有多種方法可以定義環境變數。以下步驟使用 kustomize 定義變數。

1. 建立一個名為 kustomization.yaml 的 kustomization 補丁檔案，內容如下

   # minio-operator/kustomization.yaml
   apiVersion: kustomize.config.k8s.io/v1beta1
   kind: Kustomization
   
   resources:
   - github.com/minio/operator/resources
   
   patches:
   - patch: |-
       apiVersion: apps/v1
       kind: Deployment
       metadata:
         name: minio-operator
         namespace: minio-operator
       spec:
         template:
           spec:
             containers:
               - name: minio-operator
                 env:
                   - name: OPERATOR_STS_AUTO_TLS_ENABLED
                     value: "off"
                   - name: OPERATOR_STS_ENABLED
                     value: "on"
   

2. 將 kustomization 資源套用到叢集

   kubectl apply -k minio-operator
   

將現有的 MinIO Operator 部署遷移到 cert-manager

若要將現有的 MinIO Operator 部署從使用 AutoCert 轉換到 cert-manager，請完成以下步驟

1. 完成安裝 cert-manager 的步驟，包括禁用 auto-cert。

2. 完成此頁面上的步驟 1-3，為 Operator 產生憑證授權單位。

3. 當您到達此頁面上的安裝步驟時，請改為將現有的 Operator TLS 憑證替換為 cert-manager 發出的憑證。

4. 為每個租戶建立新的 cert-manager 憑證，類似於租戶的 cert-manager頁面上描述的步驟。

5. 將 MinIO Operator 命名空間中租戶的密鑰，替換為與每個租戶的 cert-manager 發出的憑證相關的密鑰。

下一步

為 MinIO 租戶設定 cert-manager。