4. 证书轮换机制：TLS证书生命周期、K8s Secret管理证书、cert-manager与自动轮换流程

在Kubernetes集群中，TLS证书是保障服务间通信与外部域名解析安全的核心组件。证书轮换机制失效，会导致客户端（如CoreDNS、Ingress Controller）使用过期证书发起TLS握手，进而引发外部域名解析失败。本节深入剖析证书生命周期、K8s Secret管理方式以及cert-manager的自动轮换流程。

4.1 TLS证书生命周期

TLS证书从签发到销毁经历四个关键阶段，每个阶段都可能成为故障点：

4.2 Kubernetes Secret管理证书

Kubernetes使用tls类型的Secret存储TLS证书与私钥。Secret的更新机制直接影响证书轮换的生效速度。

4.2.1 Secret结构

apiVersion: v1
kind: Secret
metadata:
  name: example-tls
  namespace: default
type: kubernetes.io/tls
data:
  tls.crt: <base64-encoded-cert>
  tls.key: <base64-encoded-key>

4.2.2 Secret更新与Pod热加载

Pod通过以下方式引用Secret：

• 环境变量：Secret更新后，环境变量不会自动刷新，必须重启Pod。
• Volume挂载：Secret更新后，挂载的文件会自动更新（默认同步周期约60秒），但应用进程需要监听文件变化并重新加载证书。

4.3 cert-manager与自动轮换流程

cert-manager是Kubernetes上最流行的证书管理工具，它通过自定义资源（CRD）实现证书的自动签发与轮换。

4.3.1 核心组件

4.3.2 自动轮换流程

cert-manager在证书剩余有效期30天时触发轮换（可通过renewBefore字段调整）。完整流程如下：

1. 监控：cert-manager控制器定期检查Certificate资源中证书的剩余有效期。
2. 触发：当剩余有效期小于renewBefore（默认30天）时，启动轮换。
3. 签发：向Issuer发起新证书签发请求，生成新的密钥对与CSR。
4. 存储：将新证书与私钥写入目标Secret，更新tls.crt和tls.key。
5. 通知：cert-manager不负责重启Pod，但可通过Reloader、Keel等工具监听Secret变化并触发Pod滚动更新。

4.4 证书轮换与外部域名解析的关联

当集群内组件（如CoreDNS、Ingress Controller）使用证书与外部服务通信时，证书轮换失败会导致：

• TLS握手失败：客户端拒绝过期证书，连接中断。
• DNS查询被拦截：部分外部DNS服务器要求TLS认证，证书过期后查询被拒绝。
• 证书链不完整：轮换后未包含中间证书，客户端无法构建完整信任链。

下图展示了cert-manager自动轮换证书并更新Secret，最终影响Pod证书加载的完整链路：

4.5 证书轮换配置示例

以下是一个完整的Certificate资源定义，展示如何配置自动轮换：

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: example-cert
  namespace: default
spec:
  secretName: example-tls
  duration: 2160h   # 90天
  renewBefore: 720h # 30天前开始轮换
  subject:
    organizations:
      - Example Corp
  commonName: api.example.com
  dnsNames:
    - api.example.com
    - *.api.example.com
  issuerRef:
    name: letsencrypt-prod
    kind: ClusterIssuer

4.6 证书轮换故障排查清单