如何使用裸机集群上的证书管理器在Kubernetes中自动执行Let's Encrypt证书更新？

Question

我想访问我的库伯内特斯裸机集群与暴露的Ngin x入口控制器TLS终止。为了能够自动更新证书，我想使用库伯内特斯插件证书管理器，它是库贝-lego的继任者。

到目前为止我所做的:

> < li>

按照本指南在裸机(1个主机，1个迷你机，均运行Ubuntu 16.04.4 LTS)上设置Kubernetes (v1.9.3)集群，并使用kubeadm和法兰绒作为pod网络。

使用库伯内特斯包管理器helm
helm安装ngin x-ingres（图表版本0.9.5）--name ngin x-ingres--namesspace库贝-系统稳定controller.hostNetwork=true，rbac.create=true，controller.service.type=ClusterIP

已安装证书管理器（图表版本0.2.2），带helm
helm install--name cert manager--namespace kube system stable/cert manager--set rbac.create=true

当我使用一个入口资源进行测试时，入口控制器已成功公开，并按预期工作。为了进行正确的让我们加密证书管理和使用cert-Manager自动续订，我首先需要一个颁发者资源。我从这个acme-staging-issuer.yaml创建了它：

apiVersion: certmanager.k8s.io/v1alpha1
kind: Issuer
metadata:
  name: letsencrypt-staging
  namespace: default
spec:
  acme:
    server: https://acme-staging.api.letsencrypt.org/directory
    email: [e-mail]
    privateKeySecretRef:
      name: letsencrypt-staging
    http01: {}

kubectl创建-facme-staging-issuer.yaml运行成功，但kubectl描述发行人/lets加密阶段给我：

Status:
  Acme:
    Uri:  
  Conditions:
    Last Transition Time:  2018-03-05T21:29:41Z
    Message:               Failed to verify ACME account: Get https://acme-staging.api.letsencrypt.org/directory: tls: oversized record received with length 20291
    Reason:                ErrRegisterACMEAccount
    Status:                False
    Type:                  Ready
Events:
  Type     Reason                Age               From                     Message
  ----     ------                ----              ----                     -------
  Warning  ErrVerifyACMEAccount  1s (x11 over 7s)  cert-manager-controller  Failed to verify ACME account: Get https://acme-staging.api.letsencrypt.org/directory: tls: oversized record received with length 20291
  Warning  ErrInitIssuer         1s (x11 over 7s)  cert-manager-controller  Error initializing issuer: Get https://acme-staging.api.letsencrypt.org/directory: tls: oversized record received with length 20291

如果没有准备好的发行人，我无法继续生成证书管理器证书或使用入口垫片（用于自动续订）。

我的设置遗漏了什么？使用hostNetwork=true暴露入口控制器是否足够，或者是否有更好的方法来暴露裸机集群上的its端口80和443？创建证书管理器颁发者资源时，如何解决tls:收到过大的记录错误？

Answer 1

tls:收到过大的记录错误是由Kubernetes minion的< code>/etc/resolv.conf配置错误引起的。它可以通过如下编辑来解决:

$ sudo vi /etc/resolvconf/resolv.conf.d/base

添加名称服务器列表：

nameserver 8.8.8.8
nameserver 8.8.4.4

更新resolconf:

$ sudo resolvconf -u