cert-manager
Emisión y renovación automática de certificados TLS.
Resumen
cert-manager emite el wildcard *.local.gorkarevilla.com (Let's Encrypt,
validación DNS-01 vía Cloudflare) y lo mantiene renovado. Traefik lo usa para
terminar TLS en 443.
Estado
| Campo |
Valor |
| Estado |
Operativo |
| Argo CD Application |
cert-manager |
| Namespace |
cert-manager |
Despliegue
| Campo |
Valor |
| Método |
Helm jetstack/cert-manager (multi-source) |
| Versión |
v1.21.1 |
| App |
clusters/luka/apps/cert-manager/application.yaml |
| Manifiestos |
clusters/luka/config/cert-manager/ |
Red
| Campo |
Valor |
| Namespace |
cert-manager |
| URL |
— (no expuesto) |
Acceso y usuarios
- No aplica. Usa el token de Cloudflare (secret
cloudflare-api-token en ns
cert-manager, sellado en Git).
Configuración
ClusterIssuer letsencrypt-prod y letsencrypt-staging (ACME DNS-01,
solver cloudflare con apiTokenSecretRef).Certificate local-gorkarevilla-wildcard → secret traefik-local-tls (ns
traefik), DNS *.local.gorkarevilla.com + local.gorkarevilla.com.- Email ACME:
gorkarevilla@gmail.com.
Almacenamiento
- No aplica (cuentas ACME en secretos del cluster).
Dependencias
- Depende de: k3s, Sealed Secrets (token Cloudflare), Cloudflare (DNS-01).
- Usado por: Traefik (wildcard) y futuros servicios.
Backup y recuperación
- Los certs se re-emiten solos. Las cuentas ACME viven en secretos (
letsencrypt-*-key).
Monitorización
- Scrapeado vía ServiceMonitor
cert-manager (puerto 9402) en
clusters/luka/config/servicemonitors/cert-manager.yaml.
Referencias
- https://cert-manager.io/
- Chart: https://github.com/cert-manager/cert-manager
Notas / TODO
- Usar
letsencrypt-staging para probar sin gastar rate limits.