Как мне протестировать решающую программу ClusterIssuer?

Question

Я пытаюсь развернуть кластер Kubernetes с сертификатом SSL, используя LetsEncrypt в DigitalOcean. Я выполнил эти инструкции, и все работает до тех пор, пока ClusterIssuer не создаст порядок вызова. Тогда я получаю такую ​​ошибку:

cert-manager/controller/orders "msg"="Failed to determine the list of Challenge resources needed for the Order" "error"="no configured challenge solvers can be used for this challenge" "resource_kind"="Order" "resource_name"="letsencrypt-prod-cert-458163912-1173127706"

Я пробовал как с http, так и пытался настроить DigitalOcean dns01resolver, но ни один не работает, и с аналогичной ошибкой. Сайт работает по ip, по имени DNS (хотя я получаю предупреждение о сертификате no-ssl). Это описание ClusterIssuer:

Name:         letsencrypt-issuer
Namespace:
Labels:       app/instance=webapp
              app/managed-by=Tiller
              app/name=webapp
              app/version=0.1.0
              helm.sh/chart=webapp-0.1.0
Annotations:  cert-manager.io/cluster-issuer: letsencrypt-issuer
              kubernetes.io/ingress.class: nginx
              kubernetes.io/tls-acme: true
API Version:  cert-manager.io/v1alpha2
Kind:         ClusterIssuer
Metadata:
  Creation Timestamp:  2019-10-16T23:24:47Z
  Generation:          2
  Resource Version:    10300992
  Self Link:           /apis/cert-manager.io/v1alpha2/clusterissuers/letsencrypt-issuer
  UID:                 2ee08cd4-5781-4126-9e6d-6b9d108a1eb2
Spec:
  Acme:
    Email:  <redacted>
    Private Key Secret Ref:
      Name:  letsencrypt-prod-cert
    Server:  https://acme-v02.api.letsencrypt.org/directory
Status:
  Acme:
    Last Registered Email:  <redacted>
    Uri:                    https://acme-v02.api.letsencrypt.org/acme/acct/69503670
  Conditions:
    Last Transition Time:  2019-10-16T23:24:48Z
    Message:               The ACME account was registered with the ACME server
    Reason:                ACMEAccountRegistered
    Status:                True
    Type:                  Ready
Events:                    <none>

Есть ли способ увидеть сами решатели, чтобы убедиться, что они правильно настроены? Есть ли способ испытать их, чтобы доказать, что они работают? Есть ли другой способ диагностировать ситуацию? Я полностью застрял, так как, похоже, для этого не так много поддержки в Интернете?

Answer 1

apiVersion: cert-manager.io/v1alpha2
kind: Certificate
 metadata:
  name: certificate-name
spec:
  secretName: tls-cert
  duration: 24h
  renewBefore: 12h
  commonName: hostname
  dnsNames:
  - hostname
  issuerRef:
    name: letsencrypt
    kind: ClusterIssuer

---

apiVersion: certmanager.k8s.io/v1alpha2
kind: ClusterIssuer
metadata:
  name: letsencrypt
spec:
  acme:
    email: [e-mail]
    http01: {}
    privateKeySecretRef:
      name: letsencrypt-private-key
    server: https://acme-v02.api.letsencrypt.org/directory
    solvers:
    - http01:
        ingress:
          class: nginx
      selector: {}

---

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  annotations:
    certmanager.k8s.io/acme-challenge-type: http01
    certmanager.k8s.io/cluster-issuer: letsencrypt
  name: ingress-rule
  namespace: default
spec:
  rules:
  - host: hostname
    http:
      paths:
      - backend:
          serviceName: backend-service
          servicePort: 8080
  tls:
  - hosts:
    - hostname
    secretName: tls-cert

---

Вышеупомянутый подход сработал для меня, tls-cert автоматически создается в предполагаемом пространстве имен, и ключ, и сертификат. Чтобы это произошло, вы должны указать IP-адрес балансировщика нагрузки nginx на DNS.

Это сработало для меня, задача acme будет автоматически протестирована, и сертификат изменит его статус с ложного на истинный, как только это будет выполнено.