cert-manager

핵심 개념

Issuer / ClusterIssuer

인증서를 실제로 발급해줄 CA(예: Let's Encrypt, 사내 PKI)의 접속 정보와 인증 방식을 정의하는 리소스이다. Issuer는 특정 네임스페이스에서만, ClusterIssuer는 클러스터 전역에서 사용된다.

Certificate

어떤 도메인에 대해 어떤 Issuer를 통해 인증서를 발급받고 어느 Secret에 저장할지 선언하는 리소스로, cert-manager가 이를 보고 자동으로 발급·갱신 작업을 수행한다.

ACME Challenge

Let's Encrypt처럼 ACME 프로토콜을 쓰는 CA가 도메인 소유권을 검증하는 절차로, HTTP-01(웹 경로 응답)이나 DNS-01(TXT 레코드 등록) 방식이 흔히 쓰인다.

CertificateRequest

Certificate 리소스로부터 파생되어 실제 CSR(인증서 서명 요청)을 담고 있는 중간 리소스로, Issuer가 이를 처리해 서명된 인증서를 반환한다.

자동 갱신(Auto Renewal)

인증서 만료 시점이 가까워지면 cert-manager가 별도 개입 없이 새 인증서를 발급받아 대상 Secret을 갱신하는 동작이다.

ClusterIssuer와 Certificate 정의

Let's Encrypt를 사용하는 ClusterIssuer를 정의하고, example.com 도메인에 대한 인증서를 발급받아 example-com-tls Secret에 저장하도록 요청한다.

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-prod
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    email: admin@example.com
    privateKeySecretRef:
      name: letsencrypt-prod-key
    solvers:
      - http01:
          ingress:
            class: nginx
---
apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: example-com-tls
spec:
  secretName: example-com-tls
  issuerRef:
    name: letsencrypt-prod
    kind: ClusterIssuer
  dnsNames:
    - example.com