Holos项目中的证书管理架构优化：将cert-manager迁移至Provisioner集群

Holos项目中的证书管理架构优化：将cert-manager迁移至Provisioner集群

holos Holistic platform manager 项目地址: https://gitcode.com/gh_mirrors/hol/holos

在分布式系统架构中，证书管理一直是一个关键但复杂的环节。Holos项目近期对其证书管理架构进行了重要优化，将cert-manager组件从各个工作负载集群迁移至统一的Provisioner集群中，这一变更显著简化了整体架构并提高了管理效率。

架构变更背景

在原有架构中，证书管理分散在各个工作负载集群中，每个集群都运行着自己的cert-manager实例。这种设计虽然提供了隔离性，但也带来了几个显著问题：

1. 证书管理分散，难以统一监控和维护
2. 需要跨集群同步证书的PushSecret机制增加了复杂性
3. 每个集群都需要单独配置和更新cert-manager

新架构设计

优化后的架构将cert-manager集中部署在Provisioner集群中，这一变更带来了几个关键改进：

1. 集中式证书管理：所有集群的证书现在由Provisioner集群统一管理
2. 使用Lets Encrypt DNS01挑战：通过DNS验证方式获取证书，支持通配符证书
3. 简化证书分发：工作负载集群通过ExternalSecret资源获取证书，不再需要PushSecret机制

技术实现细节

迁移过程中涉及几个关键技术点：

1. 证书存储：所有证书统一存储在Provisioner集群中，确保安全性和一致性
2. 跨集群访问：工作负载集群通过Kubernetes的ExternalSecret机制安全获取证书
3. 高可用考虑：对于关键服务如CockroachDB，证书需要跨多个核心集群复制以确保故障转移能力

架构优势

这一变更带来了多方面的优势：

1. 简化运维：证书生命周期管理集中化，减少运维复杂度
2. 提高可靠性：消除了跨集群证书同步可能带来的问题
3. 资源优化：减少各工作负载集群中cert-manager的资源占用
4. 安全增强：集中管理可以实施更统一的安全策略

未来扩展

虽然当前架构已经显著改进，但仍有进一步优化的空间：

1. 考虑实现证书自动轮换的监控和告警机制
2. 探索多Provisioner集群的高可用部署方案
3. 优化证书分发性能，特别是对于大规模集群场景

这一架构变更体现了Holos项目在简化系统架构方面的持续努力，为后续的功能扩展和性能优化奠定了坚实基础。

holos Holistic platform manager 项目地址: https://gitcode.com/gh_mirrors/hol/holos