Cert-manager#

installCRDs

Устаревший параметр. Эквивалентен одновременной установке crds.enabled=true и crds.keep=true

false

crds.enabled

Включение установки CRD при развертывании с помощью Helm

true

replicaCount

Количество реплик pod инструмента

1

strategy

Стратегия обновления Deployment контроллера.
Пример конфигурации:

strategy:
  type: RollingUpdate
  rollingUpdate:
    maxSurge: 0
    maxUnavailable: 1

{}

podDisruptionBudget.enabled

Включение PodDisruptionBudget для предотвращения простоев при запланированных прерываниях

false

featureGates

Cписок функциональных флагов (feature gates), включаемых в pod контроллера, через запятую

""

maxConcurrentChallenges

Максимальное количество проверок (challenges), которые могут одновременно находиться в статусе processing одновременно

60

image.repository

Путь к репозиторию контейнерного образа Cert-manager, формируемый на основе глобальных переменных

'{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-cert-manager/cert-manager-controller'

image.pullPolicy

Политика загрузки образа.
Возможные значения: IfNotPresent, Always, Never

IfNotPresent

clusterResourceNamespace

Пространство имен для хранения учетных данных DNS-провайдеров и других ресурсов ClusterIssuer

""

namespace

Пространство имен для установки сервисов

""

serviceAccount.create

Включение автоматического создания ServiceAccount

true

enableCertificateOwnerRef

Включение автоматического удаления Secret. При включении опции Secret автоматически удаляются вместе с ресурсом сертификата

false

config

Конфигурация в формате YAML для контроллера. Если apiVersion и kind не указаны, используются значения по умолчанию (controller.config.cert-manager.io/v1alpha1).
Пример конфигурации:

config:
  apiVersion: controller.config.cert-manager.io/v1alpha1
  kind: ControllerConfiguration
  logging:
    verbosity: 2
    format: text
  leaderElectionConfig:
    namespace: kube-system
  kubernetesAPIQPS: 9000
  kubernetesAPIBurst: 9000
  numberOfConcurrentWorkers: 200
  enableGatewayAPI: true
  featureGates:
    AdditionalCertificateOutputFormats: true
    AllAlpha: false
    AllBeta: false
    ExperimentalCertificateSigningRequestControllers: false
    ExperimentalGatewayAPISupport: true
    LiteralCertificateSubject: true
    NameConstraints: true
    OtherNames: false
    SecretsFilteredCaching: true
    ServerSideApply: false
    StableCertificateRequestName: true
    UseCertificateRequestBasicConstraints: false
    UseDomainQualifiedFinalizer: true
    ValidateCAA: false
    DefaultPrivateKeyRotationPolicyAlways: true
    ACMEHTTP01IngressPathTypeExact: true
  metricsTLSConfig:
    dynamic:
      secretNamespace: "cert-manager"
      secretName: "cert-manager-metrics-ca"
      dnsNames:
      - cert-manager-metrics

{}

dns01RecursiveNameservers

Список хостов и портов рекурсивных DNS-серверов, которые Cert-manager должен опрашивать при самостоятельной проверке DNS01

""

dns01RecursiveNameserversOnly

Принудительное использование только рекурсивных DNS-серверов для проверки. Может увеличить время самостоятельной проверки DNS01

false

disableAutoApproval

Отключение встроенного механизма автоматического одобрения Cert-manager. Полезно при использовании внешних средств одобрения, например approver-policy

false

approveSignerNames

Список имен подписантов (signers), которых Cert-manager одобряет автоматически по умолчанию. Если массив пуст, автоматически одобряются все подписанты

extraArgs

Дополнительные аргументы командной строки для исполняемого файла контроллера Cert-manager.
Пример конфигурации:

extraArgs:
  - --controllers=*,-certificaterequests-approver

[]

extraEnv

Дополнительные переменные окружения для исполняемого файла контроллера Cert-manager.
Пример конфигурации:

extraEnv:
- name: SOME_VAR
  value: 'some value'

[]

resources.requests.cpu

Запрашиваемые ресурсы CPU контейнера

50m

resources.limits.cpu

Ограничения ресурсов CPU

500m

securityContext.runAsNonRoot

Запуск от имени пользователя без административных полномочий

true

containerSecurityContext.allowPrivilegeEscalation

Активация разрешения на эскалацию привилегий в контейнере

false

containerSecurityContext.readOnlyRootFilesystem

Монтирование корневой файловой системы в режиме «только для чтения»

true

volumes

Дополнительные тома (Volume) для pod

[]

volumeMounts

Дополнительные точки монтирования томов (VolumeMount)

[]

podLabels

Дополнительные метки для pod

{}

hostAliases

Список псевдонимов хостов для добавления в /etc/hosts.
Пример конфигурации:

- ip: 127.0.0.1
  hostnames:
  - foo.local
  - bar.local
- ip: 10.1.2.3
  hostnames:
  - foo.remote
  - bar.remote

[]

nodeSelector

Селектор узлов для планирования pod

ingressShim

Конфигурация для автоматического создания Certificate на основе ресурсов Ingress

{}

affinity

Настройки правила привязки (affinity и anti-affinity) pod к узлам.
Пример конфигурации:

affinity:
  nodeAffinity:
    requiredDuringSchedulingIgnoredDuringExecution:
      nodeSelectorTerms:
      - matchExpressions:
        - key: foo.bar.com/role
          operator: In
          values:
          - master

{}

tolerations

Toleration для размещения pod на узлах с ограничениями (taints).
Пример конфигурации:

tolerations:
- key: foo.bar.com/role
  operator: Equal
  value: master
  effect: NoSchedule

[]

topologySpreadConstraints

Ограничения топологии для равномерного распределения pod по зонам доступности и узлам.
Пример конфигурации:

topologySpreadConstraints:
- maxSkew: 2
  topologyKey: topology.kubernetes.io/zone
  whenUnsatisfiable: ScheduleAnyway
  labelSelector:
    matchLabels:
      app.kubernetes.io/instance: cert-manager
      app.kubernetes.io/component: controller

[]

livenessProbe.enabled

Включение проверки работоспособности для перезапуска контроллера при рассинхронизации системных часов

true

livenessProbe.periodSeconds

Интервал между проверками работоспособности

10

livenessProbe.successThreshold

Количество успешных проверок работоспособности

1

enableServiceLinks

Включение serviceLinks в pod

false

prometheus.enabled

Включение мониторинга Prometheus для контроллера и вебхука Cert-manager

true

prometheus.servicemonitor.prometheusInstance

Метка prometheus на ServiceMonitor для выбора целевого экземпляра Prometheus

default

prometheus.servicemonitor.path

Путь для сбора метрик

/metrics

prometheus.servicemonitor.scrapeTimeout

Настройка тайм-аута сбора метрик

30s

prometheus.servicemonitor.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

prometheus.servicemonitor.endpointAdditionalProperties

Дополнительные свойства эндпоинта, такие как relabelings и metricRelabelings.
Пример конфигурации:

endpointAdditionalProperties:
  relabelings:
  - action: replace
    sourceLabels:
    - __meta_kubernetes_pod_node_name
    targetLabel: instance

{}

prometheus.podmonitor.prometheusInstance

Метка prometheus на PodMonitor для выбора целевого экземпляра Prometheus

default

prometheus.podmonitor.interval

Интервал сбора метрик

60s

prometheus.podmonitor.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

prometheus.podmonitor.honorLabels

Сохранение меток из собранных данных с переопределением меток сервера

false

webhook.replicaCount

Количество реплик pod инструмента

1

webhook.config

Конфигурация вебхука через файл.
Пример конфигурации:

config:
  apiVersion: webhook.config.cert-manager.io/v1alpha1
  kind: WebhookConfiguration
  metricsTLSConfig:
    dynamic:
      secretNamespace: "cert-manager"
      secretName: "cert-manager-metrics-ca"
      dnsNames:
      - cert-manager-metrics

{}

webhook.securityContext.runAsNonRoot

Запуск вебхука от имени пользователя без административных полномочий

true

webhook.containerSecurityContext.allowPrivilegeEscalation

Активация разрешения на эскалацию привилегий в контейнере

false

webhook.containerSecurityContext.readOnlyRootFilesystem

Монтирование корневой файловой системы вебхука в режиме «только для чтения»

true

webhook.validatingWebhookConfiguration.namespaceSelector.matchExpressions

Селектор пространства имен для валидирующего вебхука

webhook.extraArgs

Дополнительные аргументы командной строки для вебхука.
Пример конфигурации:

--config=<path-to-config-file>

[]

webhook.featureGates

Cписок функциональных флагов (feature gates), включаемых в pod для вебхука, через запятую

""

webhook.livenessProbe.failureThreshold

Количество неудачных проверок работоспособности

3

webhook.livenessProbe.periodSeconds

Интервал между проверками работоспособности

10

webhook.livenessProbe.timeoutSeconds

Тайм-аут ожидания проверки работоспособности

1

webhook.readinessProbe.initialDelaySeconds

Задержка перед первой проверкой готовности

5

webhook.readinessProbe.successThreshold

Количество успешных проверок готовности

1

webhook.nodeSelector

Селектор узлов для планирования pod

webhook.tolerations

Toleration для размещения pod на узлах с ограничениями (taints).
Пример конфигурации:

tolerations:
- key: foo.bar.com/role
  operator: Equal
  value: master
  effect: NoSchedule

[]

webhook.podLabels

Дополнительные метки для pod вебхука

{}

webhook.serviceIPFamilyPolicy

Политика IP-семейств для Service вебхука

""

webhook.image.repository

Путь к репозиторию контейнерного образа вебхука

'{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-cert-manager/cert-manager-webhook'

webhook.image.pullPolicy

Политика загрузки образа.
Возможные значения: Always, IfNotPresent, Never

IfNotPresent

webhook.serviceAccount.automountServiceAccountToken

Автоматическое монтирование учетных данных API в ServiceAccount

true

webhook.hostNetwork

Запуск вебхука в режиме hostNetwork

false

webhook.url

Переопределение «мутирующего» и валидирующего вебхуков для обращения к Service вебхука через поле url вместо имени сервиса

{}

webhook.networkPolicy.ingress

Настройки Ingress для маршрутизации внешнего трафика

webhook.volumes

Дополнительные тома (Volume) для pod

[]

webhook.enableServiceLinks

Включение serviceLinks в переменные окружения pod вебхука

false

cainjector.enabled

Включение создания Deployment cainjector

true

cainjector.config

Конфигурация для cainjector через файл.
Пример конфигурации:

config:
  apiVersion: cainjector.config.cert-manager.io/v1alpha1
  kind: CAInjectorConfiguration
  logging:
    verbosity: 2
    format: text
  leaderElectionConfig:
    namespace: kube-system
  metricsTLSConfig:
    dynamic:
      secretNamespace: "cert-manager"
      secretName: "cert-manager-metrics-ca"
      dnsNames:
      - cert-manager-metrics

{}

cainjector.securityContext.runAsNonRoot

Запуск cainjector от имени пользователя без административных полномочий

true

cainjector.containerSecurityContext.allowPrivilegeEscalation

Активация разрешения на эскалацию привилегий в контейнере

false

cainjector.containerSecurityContext.readOnlyRootFilesystem

Монтирование корневой файловой системы cainjector в режиме «только для чтения»

true

cainjector.extraArgs

Дополнительные аргументы командной строки для cainjector.
Пример конфигурации:

--enable-profiling=true

[]

cainjector.featureGates

Cписок функциональных флагов (feature gates), включаемых в pod для `cainjector, через запятую

""

cainjector.nodeSelector

Селектор узлов для планирования pod

cainjector.tolerations

Toleration для размещения pod на узлах с ограничениями (taints).
Пример конфигурации:

tolerations:
- key: foo.bar.com/role
  operator: Equal
  value: master
  effect: NoSchedule

[]

cainjector.podLabels

Дополнительные метки для pod cainjector

{}

cainjector.image.repository

Путь к репозиторию контейнерного образа cainjector

'{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-cert-manager/cert-manager-cainjector'

cainjector.image.pullPolicy

Политика загрузки образа.
Возможные значения: Always, IfNotPresent, Never

IfNotPresent

cainjector.serviceAccount.automountServiceAccountToken

Автоматическое монтирование учетных данных API в ServiceAccount

true

cainjector.volumeMounts

Дополнительные точки монтирования томов (VolumeMount)

[]

acmesolver.image.repository

Путь к репозиторию контейнерного образаacmesolver

'{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-cert-manager/cert-manager-acmesolver'

acmesolver.image.pullPolicy

Политика загрузки образа.
Возможные значения: Always, IfNotPresent, Never

IfNotPresent

startupapicheck.enabled

Включение проверки доступности API при запуске (представляет собой Helm post-install hook, ожидающий доступности эндпоинта вебхука)

true

startupapicheck.securityContext.seccompProfile.type

Тип профиля Seccomp

RuntimeDefault

startupapicheck.containerSecurityContext.capabilities.drop

Список capabilities для удаления

startupapicheck.timeout

Тайм-аут ожидания для команды проверки API

1m

startupapicheck.jobAnnotations

Аннотации для Job startupapicheck

startupapicheck.extraEnv

Дополнительные переменные окружения дляstartupapicheck.
Пример конфигурации:

extraEnv:
- name: SOME_VAR
  value: 'some value'

[]

startupapicheck.nodeSelector

Селектор узлов для планирования pod

startupapicheck.tolerations

Toleration для размещения pod на узлах с ограничениями (taints).
Пример конфигурации:

tolerations:
- key: foo.bar.com/role
  operator: Equal
  value: master
  effect: NoSchedule

[]

startupapicheck.image.repository

Путь к репозиторию контейнерного образа startupapicheck

'{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-cert-manager-ctl/cert-manager-ctl'

startupapicheck.image.pullPolicy

Политика загрузки образа.
Возможные значения: Always, IfNotPresent, Never

IfNotPresent

startupapicheck.serviceAccount.create

Включение автоматического создания ServiceAccount для startupapicheck

true

startupapicheck.serviceAccount.automountServiceAccountToken

Автоматическое монтирование учетных данных API в ServiceAccount

true

startupapicheck.volumeMounts

Дополнительные точки монтирования томов (VolumeMount)

[]

extraObjects

Добавление дополнительных динамических объектов в Helm-чарте.
Пример конфигурации:

extraObjects:
  - |
    apiVersion: v1
    kind: ConfigMap
    metadata:
      name: '{{ template "cert-manager.fullname" . }}-extra-configmap'

[]

creator

Служебное поле конвейера сборки (release pipeline), определяющее режим генерации манифестов

helm

enabled

Служебный флаг, используемый как условие включения Cert-manager при установке в качестве зависимого чарта (dependency chart)

true