ZITADEL-Charts项目中使用Cert-Manager实现PostgreSQL证书自动化管理

ZITADEL-Charts项目中使用Cert-Manager实现PostgreSQL证书自动化管理

在Kubernetes环境中部署ZITADEL时，安全地配置PostgreSQL数据库连接是至关重要的环节。传统的手动证书创建方式虽然能够满足基本需求，但在证书更新和自动化管理方面存在明显不足。本文将详细介绍如何利用Cert-Manager实现ZITADEL与PostgreSQL之间的TLS证书自动化管理。

传统方式的局限性

ZITADEL官方文档中提供的PostgreSQL安全连接方案采用Job方式创建证书，这种方式存在几个关键问题：

1. 证书更新机制缺失，无法自动更新即将过期的证书
2. 管理灵活性不足，难以适应不同环境需求
3. 维护成本高，需要人工干预证书生命周期

Cert-Manager解决方案的优势

Cert-Manager作为Kubernetes原生的证书管理工具，提供了完整的证书生命周期管理能力：

• 自动签发和续期证书
• 支持多种证书颁发机构(CA)
• 与Kubernetes Secret无缝集成
• 提供丰富的证书配置选项

实现方案详解

1. 证书基础设施配置

首先需要建立证书签发的基础设施，包括CA证书和对应的Issuer：

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: "zitadel-pki-ca"
spec:
  commonName: "zitadel-ca"
  secretName: "zitadel-pki-ca"
  duration: 87600h
  isCA: true
  issuerRef:
    name: "selfsigning-issuer"
    kind: ClusterIssuer

2. 服务证书配置

为PostgreSQL和ZITADEL分别配置服务证书：

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: postgres
spec:
  commonName: "db-postgresql"
  secretName: "postgres-cert"
  dnsNames:
    - zitadel
    - postgres
    - postgresql
  issuerRef:
    name: zitadel-issuer
    kind: Issuer

3. PostgreSQL Helm配置

在PostgreSQL的Helm values中启用TLS并指定证书：

tls:
  enabled: true
  certificatesSecret: postgres-cert
  certFilename: "tls.crt"
  certKeyFilename: "tls.key"

4. ZITADEL数据库连接配置

配置ZITADEL使用PostgreSQL证书进行安全连接：

zitadel:
  dbSslCaCrtSecret: postgres-cert
  dbSslAdminCrtSecret: postgres-cert
  dbSslUserCrtSecret: zitadel-cert
  configmapConfig:
    Database:
      Postgres:
        User:
          SSL:
            Mode: verify-full
        Admin:
          SSL:
            Mode: verify-full

方案优势分析

1. 自动化证书管理：Cert-Manager自动处理证书的签发、续期和更新
2. 安全性增强：支持完整的证书验证模式(verify-full)
3. 配置灵活性：可根据实际需求调整证书参数和有效期
4. 标准化集成：完全基于Kubernetes原生资源实现

实施建议

1. 根据实际安全要求调整证书有效期参数
2. 在生产环境中考虑使用外部CA或Vault等专业证书管理工具
3. 定期检查Cert-Manager的证书状态
4. 结合网络策略限制对数据库端口的访问

通过这种方案，ZITADEL部署可以获得企业级的证书管理能力，大大简化了安全数据库连接的运维工作，同时提供了更高的安全性和可靠性保障。