ADCS Issuer 镜像文档

镜像概述和主要用途

ADCS Issuer是cert-manager的插件，用于将cert-manager与Microsoft Active Directory证书服务（ADCS）集成。作为cert-manager的Issuer实现，它允许cert-manager以ADCS作为证书颁发机构（CA），在Kubernetes环境中自动化申请、颁发、续期和管理X.509证书，适用于依赖ADCS作为内部CA的企业级证书管理场景。

核心功能和特性

• ADCS集成：与Microsoft Active Directory证书服务无缝集成，支持将ADCS作为证书颁发源
• cert-manager兼容：遵循cert-manager的Issuer接口规范，可直接作为cert-manager的证书颁发者使用
• 自动化管理：支持证书的自动申请、颁发、续期和吊销，减少手动操作
• 证书模板支持：兼容ADCS中的多种证书模板，满足不同场景的证书需求
• Kubernetes原生：以Kubernetes资源（如Issuer/ClusterIssuer）形式配置，符合Kubernetes管理***惯

使用场景和适用范围

使用场景

• 企业内部Kubernetes集群中需要通过ADCS获取证书的服务
• 依赖ADCS作为内部CA的应用TLS加密（如服务间通信、Ingress资源）
• 需要自动化管理ADCS证书生命周期（申请、续期、吊销）的场景
• 结合cert-manager实现证书统一管理的环境

适用范围

• 已部署Microsoft Active Directory证书服务（ADCS）的企业环境
• 运行Kubernetes集群并使用cert-manager进行证书管理的场景
• 需要符合企业安全策略，使用内部CA颁发证书的组织

详细使用方法和配置说明

前提条件

• Kubernetes集群（版本通常需与cert-manager兼容，建议v1.21+）
• 已安装cert-manager（参考cert-manager***文档）
• 可访问的ADCS服务器，且已配置证书模板
• 用于ADCS认证的凭据（如用户名/密码、证书等）

安装方式

通过Helm安装（推荐）

bash
# 添加Helm仓库
helm repo add adcs-issuer [***]
helm repo update

# 安装ADCS Issuer
helm install adcs-issuer adcs-issuer/adcs-issuer \
  --namespace cert-manager \
  --create-namespace

通过YAML manifests安装

bash
# 应用CRD
kubectl apply -f [***]

# 部署控制器
kubectl apply -f [***] -n cert-manager

配置说明

创建Issuer/ClusterIssuer资源

通过定义Issuer（命名空间级）或ClusterIssuer（集群级）资源配置ADCS连接信息：

yaml
apiVersion: certmanager.adcs.k8s.io/v1alpha1
kind: ADCSIssuer
metadata:
  name: adcs-issuer
  namespace: default
spec:
  url: "[***]"  # ADCS服务器URL
  caBundle: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0t...  # ADCS CA证书PEM编码（可选，用于验证服务器证书）
  credentials:
    name: adcs-credentials  # 包含ADCS认证凭据的Secret名称
  template: "WebServer"  # ADCS证书模板名称
  keyUsage:
    - digitalSignature
    - keyEncipherment
  extendedKeyUsage:
    - serverAuth

创建凭据Secret

存储ADCS认证凭据（如用户名/密码）：

bash
kubectl create secret generic adcs-credentials \
  --from-literal=username=adcs-user \
  --from-literal=password=adcs-password \
  -n default

申请证书

通过cert-manager的Certificate资源申请证书：

yaml
apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: example-cert
  namespace: default
spec:
  secretName: example-cert-secret
  issuerRef:
    name: adcs-issuer
    kind: ADCSIssuer
  commonName: example.com
  dnsNames:
    - example.com
    - [***]
  duration: 24h
  renewBefore: 12h

验证部署

检查ADCS Issuer状态：

bash
kubectl get adcsissuer adcs-issuer -o yaml

检查Certificate状态：

bash
kubectl get certificate example-cert -o yaml

参考链接

完整安装和配置说明请参考文档：[]