如何在Rancher 2.x中升级cert-manager？

R

明天晚上20:30，最后一期在线培训课程 《Rancher 2.3集群模板及新特性》 将准时开播！集群模板功能、Google认证、与k8s解耦、k8s1.16的支持……一节课通通解锁！点击【阅读原文】或复制以下地址到浏览器报名吧：

http://www.itdks.com/Home/Live/detail?id=28601

Tiller是Helm的服务端组件，所以为了能在我们的CLI中使用Helm，我们需要在Kubernetes集群中安装Tiller。你可以通过运行以下命令来验证Tiller是否已经安装：

helm version

如果你的输出结果与以上结果类似，那么Tiller并没有安装好。如果你已经完成安装，那么请跳过这一部分。

好，现在我们来安装Tiller。首先，我们需要创建一个服务账号，授予我们远程安装Tiller的权限，然后再授予安装Chart的权限。

kubectl -n kube-system create serviceaccount tiller

kubectl create clusterrolebinding tiller \

--clusterrole=cluster-admin \

--serviceaccount=kube-system:tiller

要启动安装Tiller：

helm init --service-account tiller

几秒钟之后，你能够通过重新输入命令 helm version 来验证Tiller是否已经安装，或者通过下列命令来验证你的Kubernetes Tiller部署：

kubectl -n kube-system rollout status deploy/tiller-deploy:

在安装cert-manager之前，我们需要做以下准备：

1、 禁用资源验证，以允许cert-manager的webhook组件正常工作

2、 安装新的（v0.11.1）的CRDs

3、 添加Jetstack repos

kubectl label namespace cert-manager certmanager.k8s.io/disable-validation=true

kubectl apply --validate=false -f https://raw.githubusercontent.com/jetstack/cert-manager/release-0.11/deploy/manifests/00-crds.yaml

helm repo add jetstack https://charts.jetstack.io && helm update

此时，我们就准备好安装并且验证cert-manager

helm install \

--name cert-manager \

--namespace cert-manager \

--version v0.11.0 \

jetstack/cert-manager

kubectl get pods --namespace cert-manager

参考链接：

https://cert-manager.io/docs/installation/upgrading/upgrading-0.10-0.11/

如果你检查你的ingress证书，你会发现什么都没有改变。这在意料之中，因为之前的版本v0.5.2中使用的ingress定义的配置不适用于v0.11.0。cert-manager为我们提供了简便的代码来查找哪个集群资源依旧引用旧的注释：

kubectl get ingress \

--all-namespaces \

-o json | \

jq '.items[] | select(.metadata.annotations| to_entries | map(.key)[] | test("certmanager")) | "Ingress resource \(.metadata.namespace)/\(.metadata.name) contains old annotations: (\( .metadata.annotations | to_entries | map(.key)[] | select( . | test("certmanager") ) ))"'

根据你的Kubernetes集群部署数量，以上列表可能会更短也可能会更长。而尝试去手动更改所有部署的旧注释可能会花费相当长的时间。以下CLI工具可以自动执行这一过程，但它不会对你的集群造成任何更改：

# 首先，根据你的平台下载二进制文件

wget -O api-migration https://github.com/jetstack/cert-manager/releases/download/v0.11.0/api-migration-linux

# 或者根据Darwin

wget -O api-migration https://github.com/jetstack/cert-manager/releases/download/v0.11.0/api-migration-darwin

# 将二进制文件标记为可执行文件，然后对集群运行二进制文件

chmod +x api-migration && ./api-migration --kubeconfig /path/to/my/kubeconfig.yaml

# 查看CLI的输出结果并且检查文件中的差异

diff ingress.yaml ingress-migrated.yaml

# 最后，review了新的ingress资源之后，应用manifest

kubectl apply -f ingress-migrated.yaml --kubeconfig /path/to/my/kubeconfig.yaml

我们现在基本上完成了，最后一步是我们需要重新引入集群Issuer（如果你只希望将 kind 注释更改为Issuer，也可以选择每个命名空间的Issuer）。

使用Let’s Encrypt stage和Production以及HTTP01创建两个集群Issuer，以下是代码摘要：

---

apiVersion: cert-manager.io/v1alpha2

kind: ClusterIssuer

metadata:

name: letsencrypt-staging

spec:

acme:

email: [email protected]

server: https://acme-staging-v02.api.letsencrypt.org/directory

privateKeySecretRef:

name: letsencrypt-staging-account-key

solvers:

- http01:

ingress:

class: nginx

---

apiVersion: cert-manager.io/v1alpha2

kind: ClusterIssuer

metadata:

name: letsencrypt-prod

spec:

acme:

email: [email protected]

server: https://acme-v02.api.letsencrypt.org/directory

privateKeySecretRef:

name: letsencrypt-prod-account-key

solvers:

- http01:

ingress:

class: nginx

在一两分钟之后，你的所有ingress都将更新为指向新颁发的证书。但是请记住，如果你之前的证书不在续订窗口内，那么你不会发现任何差异。