如何配置SAS Viya使用默认Cluster-Issuer替代sas-viya-issuer

完全可以让SAS Viya使用你自己的Cluster-Issuer，问题出在当前的Kustomize补丁配置上，需要调整几个核心点：

问题原因 #

你当前的补丁仅添加了cert-manager.io/issuer注解，但Cluster-Issuer对应的正确注解是cert-manager.io/cluster-issuer；同时SAS Viya默认注入的cert-manager.io/issuer: sas-viya-issuer会优先级更高，导致你的配置不生效。

修正后的Kustomize补丁配置 #

修改你的ingress-annotation-transformer.yaml，同时完成移除旧注解和添加Cluster-Issuer注解两个操作：

---
apiVersion: builtin
kind: PatchTransformer
metadata:
  name: sas-cert-manager-ingress-annotation-transformer
patch: |-
  - op: remove
    path: /metadata/annotations/cert-manager.io~1issuer
  - op: add
    path: /metadata/annotations/cert-manager.io~1cluster-issuer
    value: default-issuer  # 替换为你的Cluster-Issuer实际名称
target:
  kind: Ingress
  name: .*
  namespace: .*  # 覆盖SAS Viya所有命名空间下的Ingress资源

验证步骤 #

1. 应用补丁后，检查Ingress注解是否更新：

kubectl get ingress --all-namespaces -o jsonpath='{range .items[*]}{.metadata.namespace}/{.metadata.name}{"\t"}{.metadata.annotations.cert-manager\.io/cluster-issuer}{"\n"}'

2. 确认cert-manager是否使用你的Cluster-Issuer签发证书：

kubectl get certificates --all-namespaces

查看目标证书的Issuer字段是否显示你的Cluster-Issuer名称。

额外注意事项 #

• 如果SAS Viya部署脚本会重新生成Ingress资源，需确保你的Kustomize补丁在部署流程中优先级足够高，或集成到SAS Viya的site-config扩展体系中。
• 确认你的Cluster-Issuer拥有对应域名的证书签发权限，DNS解析配置正确（若使用ACME类签发方如Let's Encrypt）。

内容的提问来源于stack exchange，提问作者Metro