必须部署cert-manager以自动化管理Kubernetes中的TLS证书；可通过Helm或kubectl两种方式安装，再配置ClusterIssuer对接Let's Encrypt，并创建Certificate资源触发自动签发与注入。
如果您在 Kubernetes 集群中需要自动化管理 TLS 证书（如 Let's Encrypt 签发、续期、注入到 Ingress），则必须部署 cert-manager —— 一个专为 K8s 设计的证书生命周期控制器。以下是针对 Linux 环境下安装与配置 cert-manager 的具体操作步骤：
一、通过 Helm 安装 cert-manager
Helm 是最稳定且可复现的安装方式，适用于生产环境，能精确控制 chart 版本与命名空间隔离。
1、确保已安装 Helm v3+ 并已添加 Jetstack 官方仓库：
执行 helm repo add jetstack https://charts.jetstack.io。
2、更新本地仓库索引：
执行 helm repo update。
3、创建专用命名空间：
执行 kubectl create namespace cert-manager。
4、安装 cert-manager chart（启用 webhook 和 CRD）：
执行 helm install cert-manager jetstack/cert-manager --namespace cert-manager --version v1.14.4 --set installCRDs=true。
5、验证 Pod 运行状态：
执行 kubectl get pods -n cert-manager，确认所有 Pod 处于 Running 状态且 READY 为 1/1。
二、通过 kubectl apply 安装 cert-manager
该方式跳过包管理器，直接应用官方 YAML 清单，适合离线环境或需最小依赖的场景，但需手动处理 CRD 更新顺序。
1、下载对应版本的静态清单（以 v1.14.4 为例）：
执行 curl -L https://github.com/cert-manager/cert-manager/releases/download/v1.14.4/cert-manager.yaml -o cert-manager.yaml。
2、分离 CRD 与主组件（避免因 CRD 未就绪导致 controller 启动失败）：
执行 sed -n '/---/q;p' cert-manager.yaml > cert-manager-crd.yaml。
3、先应用 CRD 清单：
执行 kubectl apply -f cert-manager-crd.yaml。
4、等待 CRD 建立完成：
执行 kubectl wait --for=condition=established --timeout=60s crd/certificates.cert-manager.io。
5、再应用剩余组件（controller、webhook、cainjector）：
执行 kubectl apply -f cert-manager.yaml。
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
三、配置 Let's Encrypt Issuer（ClusterIssuer）
ClusterIssuer 是集群范围可用的证书签发者定义，用于对接 ACME 服务（如 Let's Encrypt），需配置邮箱与私钥，并完成 HTTP-01 或 DNS-01 挑战验证。
1、创建 cluster-issuer.yaml 文件，内容包含 ACME 服务器 URL、邮箱、私钥名称及 HTTP-01 solver 配置：
2、设置 ACME 服务器为生产环境：
将 https://acme-v02.api.letsencrypt.org/directory 写入 server 字段。
3、指定 solver 使用 ingress 类型并绑定默认 ingress class：
在 solvers.http01.ingress 部分写入 class: nginx（若使用其他 ingress controller，请替换为对应 class 名）。
4、应用该资源：
执行 kubectl apply -f cluster-issuer.yaml。
5、检查 issuer 状态：
执行 kubectl get clusterissuers -o wide，确认 STATUS 显示为 Ready。
四、部署测试 Certificate 资源
Certificate 是 cert-manager 的核心自定义资源，用于声明所需证书的域名、密钥算法、有效期及关联的 Issuer，触发自动申请与注入。
1、编写 certificate.yaml，指定目标域名（如 example.com）、secretName（将存入 kube secret）、issuerName（指向上一步创建的 ClusterIssuer 名称）。
2、确保目标域名 DNS 已解析至集群 Ingress Controller 所在节点 IP：
执行 dig +short example.com，返回值应为 Ingress 公网 IP。
3、应用证书资源：
执行 kubectl apply -f certificate.yaml。
4、观察证书申请过程：
执行 kubectl describe certificate example-com -n default，关注 Events 中是否出现 “Order created”、“Challenge created”。
5、验证 secret 是否生成：
执行 kubectl get secret example-com-tls -o jsonpath='{.data.tls\.crt}' | base64 -d | openssl x509 -noout -text | grep "Subject:"，输出应含 CN=example.com。
