Устанавливает надежную и высокодоступную инсталляцию cert-manager release v1.12.3.

При установке модуля автоматически учитываются особенности кластера:

  • компонент (webhook), к которому обращается kube-apiserver, устанавливается на master-узлы;
  • в случае недоступности webhook’а производится временное удаление apiservice, чтобы недоступность cert-manager не блокировала работу кластера.

Обновление самого модуля происходит в автоматическом режиме, в том числе с миграцией ресурсов cert-manager.

Возможности модуля cert-manager (с учетом внесенных изменений)

Модуль обеспечивает использование всех возможностей оригинального cert-manager, в том числе:

  • заказ сертификатов во всех поддерживаемых источниках, таких как Let’s Encrypt, HashiCorp Vault, Venafi;
  • выпуск самоподписанных сертификатов;
  • поддержку актуальности сертификатов, автоматический перевыпуск и т. д.

Изменения в оригинальный cert-manager были внесены, чтобы поды cm-acme-http-solver могли выполняться на master-узлах и выделенных узлах.

Мониторинг

Модуль обеспечивает экспорт метрик в Prometheus, что позволяет мониторить:

  • срок действия сертификатов;
  • корректность перевыпуска сертификатов.

Роли доступа к ресурсам

В модуле предопределены несколько продуманных ролей для удобного доступа к ресурсам:

  • User – доступ на чтение к ресурсам Certificate и Issuer в доступных ему namespace, а также к глобальным ClusterIssue;
  • Editor – управление ресурсами Certificate и Issuer в доступных ему namespace;
  • ClusterEditor – управление ресурсами Certificate и Issuer в любых namespace;
  • SuperAdmin – управление внутренними служебными объектами.