如何处理Kubernetes环境下工作负载的证书问题？

当前K8s生态最通用的生产级证书管理方案是使用cert-manager组件，实现证书全生命周期的自动化管理，完全可以解决你提到的自签名证书信任风险问题，也适用于各类有TLS需求的工作负载场景。

核心实现逻辑 #

• cert-manager支持在集群内部署私有根CA，也可对接企业内部PKI系统、公网CA服务，自动完成证书的签发、续期、吊销操作，无需人工介入维护证书。
• 所有集群内的工作负载只要信任cert-manager签发的根CA证书，即可正常校验对应服务端的证书有效性，不需要配置跳过证书校验的不安全参数。

适配你的MongoDB场景的落地步骤 #

1. 在集群中安装cert-manager后，先创建集群级根CA对应的ClusterIssuer资源，将根CA公钥分发到所有需要访问TLS服务的命名空间中，作为客户端信任的根证书。
2. 为MongoDB服务创建Certificate资源，指定DNS名称包含*.mongodb-namespace.svc.cluster.local以及你需要用到的其他业务域名，cert-manager会自动生成对应的公钥、私钥、完整证书链，存储到你指定的Secret对象中。
3. 配置Percona MongoDB Operator的CR资源，直接引用上述生成的Secret作为TLS证书即可，Operator会自动将证书挂载到MongoDB服务端Pod中。
4. 客户端应用配置时，将集群根CA公钥挂载到应用的信任证书库中，比如Java应用的cacerts文件、Go应用指定根CA加载路径，即可正常校验MongoDB服务端证书，不需要设置insecureTLS=true或skipVerifyName=true这类不安全参数。

其他可选适配方案 #

• 小规模测试场景可以直接使用Kubernetes原生的CSR（CertificateSigningRequest）API，提交证书签名请求后用集群自带的根CA签发，该方案无需额外安装组件，但需要自行处理证书续期、分发逻辑。
• 企业有成熟内部PKI系统的，可以直接对接内部CA服务，通过简单的CronJob或者自定义Operator自动将签发后的证书同步到集群Secret中，符合企业安全合规要求。

注意事项 #

• 要配置证书自动续期后的工作负载重载逻辑：cert-manager默认会在证书过期前30天自动重新签发证书，可搭配Stakater Reloader这类组件监听Secret变更，自动滚动重启关联的服务端、客户端Pod，避免证书过期后业务不可用。
• 通配符证书范围遵循最小权限原则：不要签发范围过大的通配符证书（比如*.svc.cluster.local），仅给当前业务需要的域名范围签发证书，降低证书泄露后的安全风险。

内容的提问来源于stack exchange，提问作者Antoine