Nginx 本身不支持直接集成 cert-manager，仅当使用 Kubernetes 中的 ingress-nginx controller 时，cert-manager 才能通过 Ingress 资源自动签发并注入 TLS 证书；非 K8s 环境应改用 acme.sh 或 Certbot。
Nginx 本身不支持直接集成 cert-manager，因为 cert-manager 是 Kubernetes 原生的证书管理控制器，运行在 K8s 集群内，而 Nginx（指 standalone 的 nginx 进程）是传统服务器上的独立服务。所以“Nginx + Python + cert-manager”这个组合需要先明确部署上下文：如果你用的是原生 Nginx（非 Ingress），cert-manager 无法直接为其签发或部署证书；只有当你使用 Ingress-Nginx 作为 Kubernetes 的入口网关时，cert-manager 才能通过 Ingress 资源自动注入 TLS 证书。
确认你是否在 Kubernetes 环境中运行 Nginx
这是最关键的前置判断：
- ✅ 是 —— 你实际使用的是 ingress-nginx controller（一个以 Pod 形式运行在集群中的 Nginx 实例），那么 cert-manager 可以全自动工作；
- ❌ 否 —— 你只是在 CentOS/Ubuntu 服务器上装了 nginx 和 Python，想用 cert-manager 管理它 —— 这不可行，cert-manager 不提供裸机证书部署能力，此时应改用 acme.sh 或 Certbot。
在 Kubernetes 中让 cert-manager 管理 Ingress-Nginx 的 HTTPS
核心是四步闭环：安装 cert-manager → 配置 Let's Encrypt Issuer → 创建带 tls 字段的 Ingress → 自动签发并续期。
- 安装 cert-manager（推荐 Helm）：
helm install cert-manager jetstack/cert-manager --namespace cert-manager --create-namespace --version v1.14.4 --set installCRDs=true - 配置 ClusterIssuer（例如使用 HTTP-01）：
定义一个 YAML，指定 email、ACME server（如 https://acme-v02.api.letsencrypt.org/directory）、以及 http01 入口类名（需与 ingress-nginx controller 的 ingressClass 名一致） - 在 Ingress 资源中声明 TLS：
在 spec.tls 下写明 hosts 和 secretName，例如：
secretName: myapp-tls；cert-manager 会自动创建该 Secret，并将证书写入其中 - ingress-nginx controller 会自动从该 Secret 读取证书，无需 reload —— 它监听 Secret 变更并热更新内存中的证书缓存
Python 在这个流程里能做什么？
Python 不参与证书签发逻辑，但可作为运维辅助工具：
立即学习“Python免费学习笔记（深入）”；
- 用 requests + Kubernetes Python Client 自动检查 cert-manager 的 Certificate 资源状态（比如是否 Ready、是否即将过期）
- 编写脚本轮询 kubectl get certificate -A 并发企业微信/钉钉告警（例如剩余有效期 < 7 天）
- 生成标准化的 Ingress YAML 模板（带 tls 块），供 CI/CD 流水线渲染后自动提交到集群
- 注意：不要试图用 Python 调 cert-manager API 直接操作证书 —— 它没有对外 REST 接口，所有交互都通过 Kubernetes CRD（Certificate、Issuer 等）完成
如果你不在 Kubernetes 里，但有 Python 环境，替代方案更实际
放弃 cert-manager，改用轻量、可控的自动化链：
- 用 acme.sh（纯 Shell，无 Python 依赖）申请和续期证书，配合 --deploy-hook 自动复制证书 + nginx -s reload
- 用 Python 写个简单守护脚本：定期调用 acme.sh --renew -d example.com --force，捕获 stdout 判断是否成功，失败则发邮件
- 或用 Certbot + systemd timer：设置每日定时任务执行 certbot renew --quiet --post-hook "nginx -s reload"，Python 只负责日志解析与告警
