创建 Certificate:
apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: test-mydomain-com namespace: default spec: dnsNames: - test.mydomain.com # 要签发证书的域名 issuerRef: kind: ClusterIssuer name: letsencrypt-dns01 # 引用 ClusterIssuer，指示采用 dns01 方式进行校验 secretName: test-mydomain-com-tls # 最终签发出来的证书会保存在这个 Secret 里面 获取和使用证书创建好 Certificate 后，等一小会儿，我们可以 kubectl 查看是否签发成功:
$ kubectl get certificate -n prod NAME READY SECRET AGE test-mydomain-com True test-mydomain-com-tls 1m如果 READY 为 False 表示失败，可以通过 describe 查看 event 来排查失败原因:
$ kubectl describe certificate test-mydomain-com -n prod如果为 True 表示签发成功，证书就保存在我们所指定的 Secret 中 (上面的例子是 default/test-mydomain-com-tls)，可以通过 kubectl 查看:
$ kubectl get secret test-mydomain-com-tls -n default ... data: tls.crt: <cert> tls.key: <private key>其中 tls.crt 就是证书，tls.key 是密钥。
你可以将它们挂载到你需要证书的应用中，或者使用自建的 Ingress，可以直接在 Ingress 中引用 secret，示例:
apiVersion: networking.k8s.io/v1beta1 kind: Ingress metadata: name: test-ingress annotations: kubernetes.io/Ingress.class: nginx spec: rules: - host: test.mydomain.com http: paths: - path: /web backend: serviceName: web servicePort: 80 tls: hosts: - test.mydomain.com secretName: test-mydomain-com-tls 小结本文介绍了 cert-manager 的工作原理，安装方法以及签发免费证书的两种校验方式 (HTTP-01 与 DNS-01) 的原理、对比以及操作方法。
参考资料cert-manager 官网: https://cert-manager.io/
Let's Encrypt 的运作方式: https://letsencrypt.org/zh-cn/how-it-works/
Issuer API 文档:
Certificate API 文档:
【腾讯云原生】云说新品、云研新术、云游新活、云赏资讯，扫码关注同名公众号，及时获取更多干货！！