当在带有nginx入口的Kubernetes上使用客户端证书身份验证时，如何修复证书管理器对让我们加密ACME挑战的响应？

Question

我们已经建立了一个新的入口路由，需要TLS证书身份验证，并将其放置在自己的子域中，但我们发现证书管理器无法为其颁发证书。

使用此处提供的示例，我们生成CA证书和CA密钥，然后配置客户端证书：https://github.com/kubernetes/ingress-nginx/tree/master/docs/examples/auth/client-certs

在日志中，我可以看到所有. acme挑战请求都返回403。我猜nginx拒绝了这些请求，因为Let's Encrypt无法为挑战请求提供客户端证书。我需要做些什么才能绕过ACME的客户端证书要求？

Answer 1

这里的问题是，我们实际上错误地配置了nginx.ingres.kubernetes。io/auth tls机密注释。它必须采用名称空间/名称格式，其中名称空间是包含包含客户端CA证书的机密的名称空间，名称是该机密的名称，但我们只提供了名称，因为机密与入口位于同一名称空间中。

我可以通过将nginx入口控制器配置转储到nginx.conf.txt来诊断问题，方法是：

  kubectl exec <NAME OF INGRESS CONTROLLER POD> -n <INGRESS NAMESPACE> -- nginx -T | tee nginx.conf.txt

（改编自https://docs.nginx.com/nginx-ingress-controller/troubleshooting/#checking-the-generated-config）。

其中包括以下代码段：

    ## start server the.hostname.com
    server {
        server_name the.hostname.com ;
        
        listen 80;
        
        set $proxy_upstream_name "-";
        set $pass_access_scheme $scheme;
        set $pass_server_port $server_port;
        set $best_http_host $http_host;
        set $pass_port $pass_server_port;
        
        listen 443  ssl http2;
        
        # PEM sha: 66c07c44ba9637a23cd3d7b6ebce958e08a52ccb
        ssl_certificate                         /etc/ingress-controller/ssl/default-fake-certificate.pem;
        ssl_certificate_key                     /etc/ingress-controller/ssl/default-fake-certificate.pem;
        
        ssl_certificate_by_lua_block {
            certificate.call()
        }
        
        # Location denied, reason: invalid format (namespace/name) found in 'the-secret-name'
        return 403;
        
    }
    ## end server the.hostname.com

关键是这两行：

        # Location denied, reason: invalid format (namespace/name) found in 'the-secret-name'
        return 403;

这让我找到了这个秘密名字的注释。一旦我解决了这个问题，ACME就正常工作了。