Kpack操作指南：如何向Kpack生成镜像的JVM信任库添加自定义证书

1. 定义存储自签名证书的Secret #

先将你的自签名证书（例如custom-ca.crt）转为Kubernetes Secret，以下是手动编写的Secret YAML：

apiVersion: v1
kind: Secret
metadata:
  name: custom-ca-secret
type: Opaque
data:
  ca.crt: <BASE64编码的证书内容>

提示：执行base64 custom-ca.crt命令可生成证书文件的Base64编码内容，替换上述占位符即可。

也可以用命令快速创建：

kubectl create secret generic custom-ca-secret --from-file=ca.crt=./custom-ca.crt

2. 配置Kpack Build资源 #

在Kpack的Build资源中，通过挂载Secret并配置Paketo Java Buildpack的环境变量，让构建过程自动将证书导入JVM信任库：

apiVersion: kpack.io/v1alpha2
kind: Build
metadata:
  name: spring-boot-app-build
spec:
  tag: registry.example.com/my-spring-boot-app # 替换为你的镜像仓库地址
  serviceAccountName: kpack-service-account # 替换为你的Kpack服务账号名
  builder:
    name: default-builder
    kind: Builder
  source:
    git:
      url: https://github.com/your-org/your-spring-boot-app.git # 替换为你的代码仓库地址
      revision: main
  # 挂载证书Secret到构建容器
  volumes:
  - name: custom-ca-volume
    secret:
      secretName: custom-ca-secret
  volumeMounts:
  - name: custom-ca-volume
    mountPath: /workspace/ca-certificates
  # 配置Java Buildpack自动导入证书
  env:
  - name: BP_JVM_TRUST_CERTS
    value: "/workspace/ca-certificates"
  - name: BP_JVM_VERSION
    value: "17" # 根据你的Spring Boot版本指定对应JVM版本

关键配置说明 #

• BP_JVM_TRUST_CERTS：Paketo Java Buildpack的专属环境变量，指定存放CA证书的目录，Buildpack会自动将目录下所有.crt/.pem格式的证书导入到JVM的cacerts系统信任库。
• 如果需要让所有基于该Builder的构建都默认信任自定义证书，可将上述volumes、volumeMounts和env配置迁移到Builder资源的spec.build字段下。

验证证书有效性 #

镜像构建完成后，运行容器并执行以下命令，检查证书是否成功导入：

keytool -list -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit | grep <你的证书别名>

内容的提问来源于stack exchange，提问作者Dojo