Ssl 在AKS上调试证书管理器证书创建失败

我正在Azure AKS上部署cert manager，并试图让它请求一个Let's Encrypt证书。由于未知授权机构签署的

证书出现故障

错误，我无法进一步排除故障

不确定这是否与信任LE服务器、隧道前端pod或内部AKS自行生成的CA有关。因此，我的问题是：

• 如何强制证书管理器调试（显示更多信息）它不信任的证书
• 也许问题经常发生，并且有一个已知的解决方案
• 应采取哪些步骤进一步调试该问题

我在jetstack/cert manager的Github页面上创建了一个问题，但没有得到回答，所以我来到这里

整个故事如下：

未创建证书。报告了以下错误：

证书： 来自服务器的错误：转换&{map[apiVersion:cert-manager.io/v1alpha2种类：证书元数据：map[creationTimestamp:2020-05-13T17:30:48Z生成：1名称：xxx tls命名空间：测试所有者引用：[map][apiVersion:extensions/v1beta1 BlockownerDelete:true controller:true kind:Ingress name:xxx Ingress uid:6d73b182-bbce-4834-aee2-414d2b3aa802]]uid:d40bc037-aef7-4139-868f-bd615a423b38]规范：映射[dnsNames:[xxx.test.domain.com]issuerRef:map[组：cert-manager.io种类：集群发行人名称：letsencrypt产品]secretName:xxx tls]状态：映射[条件：[map[lastTransitionTime:2020-05-13T18:55:31Z消息：等待CertificateRequest“xxx-tls-1403681706”完成原因：InProgress状态：False类型：Ready]]}失败：Posthttps://cert-manager-webhook.cert-manager.svc:443/convert?timeout=30s: x509:由未知机构签署的证书

cert manager webhook容器：

cert manager 2020/05/15 14:22:58 http:10.20.0.19:35350的TLS握手错误：远程错误：TLS:坏证书

其中

10.20.0.19

是

tunnelfront

pod的IP

尝试

kubectl description order…

as

kubectl description certificaterequest…

返回错误的CSR内容（如上所述），但不返回订单ID

环境详情：

• Kubernetes版本：

  1.15.10

• 云提供商/提供者：

  Azure（AKS）

• 证书管理器版本：

  0.14.3

• 安装方法：静态清单（见下文）+群集颁发者（见下文）+常规CRD（非旧式）

群集颁发者：

kind: ClusterIssuer
metadata:
  name: letsencrypt-prod
  namespace: cert-manager
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    email: x
    privateKeySecretRef:
      name: letsencrypt-prod
    solvers:
      - dns01:
          azuredns:
            clientID: x
            clientSecretSecretRef:
              name: cert-manager-stage
              key: CLIENT_SECRET
            subscriptionID: x
            tenantID: x
            resourceGroupName: dns-stage
            hostedZoneName: x

舱单：

  imagePullSecrets: []
  isOpenshift: false

  priorityClassName: ""
  rbac:
    create: true

  podSecurityPolicy:
    enabled: false

  logLevel: 2

  leaderElection:
    namespace: "kube-system"

replicaCount: 1

strategy: {}


image:
  repository: quay.io/jetstack/cert-manager-controller
  pullPolicy: IfNotPresent

  tag: v0.14.3

clusterResourceNamespace: ""

serviceAccount:
  create: true
  name:
  annotations: {}

extraArgs: []

extraEnv: []

resources: {}

securityContext:
  enabled: false
  fsGroup: 1001
  runAsUser: 1001

podAnnotations: {}

podLabels: {}

nodeSelector: {}

ingressShim:
  defaultIssuerName: letsencrypt-prod
  defaultIssuerKind: ClusterIssuer

prometheus:
  enabled: true
  servicemonitor:
    enabled: false
    prometheusInstance: default
    targetPort: 9402
    path: /metrics
    interval: 60s
    scrapeTimeout: 30s
    labels: {}


affinity: {}

tolerations: []

webhook:
  enabled: true
  replicaCount: 1

  strategy: {}

  podAnnotations: {}

  extraArgs: []

  resources: {}

  nodeSelector: {}

  affinity: {}

  tolerations: []

  image:
    repository: quay.io/jetstack/cert-manager-webhook
    pullPolicy: IfNotPresent
    tag: v0.14.3

  injectAPIServerCA: true

  securePort: 10250

cainjector:
  replicaCount: 1

  strategy: {}

  podAnnotations: {}

  extraArgs: []

  resources: {}

  nodeSelector: {}

  affinity: {}

  tolerations: []

  image:
    repository: quay.io/jetstack/cert-manager-cainjector
    pullPolicy: IfNotPresent
    tag: v0.14.3

---

似乎

v0.14.3

有某种错误。对于

v0.15.0

，问题不会出现