我的域的DNS记录没有在azure上传播- dns-01挑战

Question

我正试图为我的入口网关向证书经理订购证书。为此，我在包括证书管理器在内的AKS上的kubernetes集群(1.13.7)上安装了istio (1.2.2)。在设置了一个集群颁发程序并对我的azure区域命令了一个带有dns-01挑战的证书之后，im在我的证书管理器中获得了下面的错误消息。这条消息每10秒在日志中被垃圾处理一次：

I0813 14:48:10.597656       1 controller.go:213] cert-manager/controller/challenges "level"=0 "msg"="syncing resource" "key"="istio-system/controller-certificate-531021094-0"
I0813 14:48:10.597940       1 dns.go:112] Checking DNS propagation for "<myurl>.westeurope.cloudapp.azure.com" using name servers: [10.0.0.10:53]
E0813 14:48:10.616908       1 sync.go:180] cert-manager/controller/challenges "msg"="propagation check failed" "error"="DNS record for \"<myurl>.westeurope.cloudapp.a
zure.com\" not yet propagated" "dnsName"="<myurl>.westeurope.cloudapp.azure.com" "resource_kind"="Challenge" "resource_name"="controller-certificate-531021094-0" "res
ource_namespace"="istio-system" "type"="dns-01"
I0813 14:48:10.616976       1 controller.go:219] cert-manager/controller/challenges "level"=0 "msg"="finished processing work item" "key"="istio-system/controller-certificate-53102
1094-0"

我使用以下命令安装了istio：

helm install install/kubernetes/helm/istio --name istio --namespace istio-system \
  --values install/kubernetes/helm/istio/values-istio-sds-auth.yaml \
  --set gateways.istio-ingressgateway.sds.enabled=true \
  --set gateways.istio-egressgateway.enabled=false \
  --set certmanager.enabled=true \
  --set certmanager.email=<myemail> \
  --set certmanager.tag=v0.8.1 

我也尝试了其他的证书管理器版本(6 + 8)，但是我得到了同样的结果。独立证书管理器的安装给了我同样的结果。

这是我发行者的yaml文件..。

apiVersion: certmanager.k8s.io/v1alpha1
kind: Issuer
metadata:
  name: letsencrypt-staging
  namespace: istio-system
spec:
  acme:
    server: https://acme-staging-v02.api.letsencrypt.org/directory
    email: <myEmail>
    privateKeySecretRef:
      name: istio-ingressgateway-certs-private-key
    dns01:
      providers:
      - name: azure-dns
        azuredns:
          clientID: <myappID>
          clientSecretSecretRef:
            key: client-secret
            name: azuredns-config
          hostedZoneName: <myurl>.westeurope.cloudapp.azure.com
          resourceGroupName: <myresourcegroup> 
          subscriptionID: <mysubID> 
          tenantID: <mytenantID> 

证书的...and：

apiVersion: certmanager.k8s.io/v1alpha1
kind: Certificate
metadata:
  name: controller-certificate
  namespace: istio-system
spec:
  secretName: istio-ingressgateway-certs
  issuerRef:
    name: letsencrypt-staging 
  commonName: <myUrl>.westeurope.cloudapp.azure.com
  dnsNames:
  - <myUrl>.westeurope.cloudapp.azure.com
  acme:
    config:
    - dns01:
        provider: azure-dns
      domains:
      - <myUrl>.westeurope.cloudapp.azure.com

在azure中，我创建了一个名为<myurl>.westeurope.cloudapp.azure.com的dns区域。然后，我创建了一个指向集群LoadBalancer公开的istio的A记录。以下命令使cert管理器能够在letsencrypt所需的dns区域中添加TXT条目。第一个为发行者创建一个秘密，第二个创建一个主体来访问dns区域。

kubectl create secret generic azuredns-config -n istio-system --from-literal=client-secret=<myPW>

az ad sp create-for-rbac --name <myPrincipal>--role="DNS Zone Contributor" --scopes="/subscriptions/<mysubID>/resourceGroups/<myresourcegroup>"

TXT条目随后在dns区域中成功创建，但证书不是像上面的证书管理器日志中所看到的那样创建的。

我使用https://digwebinterface.com来调试dns区域.当我使用dig TXT _acme-challenge.myurl.westeurope.cloudapp.azure.com. @mygivennameserver im能够检索acme令牌时。当我在没有名称服务器的情况下尝试这个方法时，它是不起作用的。据我正确的理解，当传播结束时，这也应该有效，对吗？

我已经读到它需要24小时才能更新dns记录。这也适用于TXT记录吗？

我尝试使用以下安装来启用证书管理器到dns区域的名称服务器。这给了我相同的结果，除了其他的名称服务器列在证书管理器日志中。安装过程中有什么错误吗？

helm install \
  --name cert-manager \
  --namespace istio-system \
  --version v0.9.1 \
  --set webhook.enabled=false \
  --set extraArgs='{--dns01-recursive-nameservers-only,--dns01-self-check-nameservers=8.8.8.8:53\,1.1.1.1:53\,<mynameserver>}' \
  jetstack/cert-manager

运行kubectl describe challenge -n istio-system会导致：

Name:         controller-certificate-531021094-0
Namespace:    istio-system
Labels:       acme.cert-manager.io/order-name=controller-certificate-531021094
Annotations:  <none>
API Version:  certmanager.k8s.io/v1alpha1
Kind:         Challenge
Metadata:
  Creation Timestamp:  2019-08-13T14:43:57Z
  Finalizers:
    finalizer.acme.cert-manager.io
  Generation:  4
  Owner References:
    API Version:           certmanager.k8s.io/v1alpha1
    Block Owner Deletion:  true
    Controller:            true
    Kind:                  Order
    Name:                  controller-certificate-531021094
    UID:                   c740fea3-bdd8-11e9-80fd-0a58ac1f0fb7
  Resource Version:        31205901
  Self Link:               /apis/certmanager.k8s.io/v1alpha1/namespaces/istio-system/challenges/controller-certificate-531021094-0
  UID:                     c7d72ecf-bdd8-11e9-80fd-0a58ac1f0fb7
Spec:
  Authz URL:  https://acme-staging-v02.api.letsencrypt.org/acme/authz-v3/3805423
  Config:
    Dns 01:
      Provider:  azure-dns
  Dns Name:      <myurl>.westeurope.cloudapp.azure.com
  Issuer Ref:
    Name:    letsencrypt-staging
  Key:       bSjnfaFTApp6gPNsHc9-dPdmwsTwQJAd73CXmBrVc84
  Token:     Vn5Z7tBKajxnq1KrOBywP016VauoibCPcYsOESXhV4Q
  Type:      dns-01
  URL:       https://acme-staging-v02.api.letsencrypt.org/acme/chall-v3/3805423/RTxciA
  Wildcard:  false
Status:
  Presented:   true
  Processing:  true
  Reason:      Waiting for dns-01 challenge propagation: DNS record for "<myurl>.westeurope.cloudapp.azure.com" not yet propagated
  State:       pending
Events:
  Type    Reason     Age   From          Message
  ----    ------     ----  ----          -------
  Normal  Started    52m   cert-manager  Challenge scheduled for processing
  Normal  Presented  52m   cert-manager  Presented challenge using dns-01 challenge mechanism

Answer 1

我在这个问题上被困了一段时间。首先，我从来不需要自己显式地创建certificate资源，这就是cert-manager要做的事情。

除此之外，向入口添加以下注释解决了我的问题：

cert-manager.io/cluster-issuer: hydrantid
kubernetes.io/tls-acme: 'true'

在我的例子中，我使用hydrantid作为发行者，但在给定的示例中，它将是letsencrypt。