ACME HTTP/DNS 검증 흐름 (Let’s Encrypt 예)

ACME HTTP/DNS 검증 흐름 (Let’s Encrypt 예) A workflow diagram generated by Archify. 01 / 1. 사용자 · cert-manager 02 / 2. ACME 프로토콜 03 / 3. Challenge 솔버 04 / 4. Let's Encrypt 05 / 5. 결과 Certificate CR 생성 · kubectl apply · 1. 사용자 · cert-manager Certificate CR 생성 kubectl apply CertificateRequest 생성 · Controller가 Certificate 감지 · 1. 사용자 · cert-manager CertificateRequest 생성 Controller가 Certificate 감지 Order 생성 · 도메인 목록 · 2. ACME 프로토콜 Order 생성 도메인 목록 Authorization · 도메인별 인증 · 2. ACME 프로토콜 Authorization 도메인별 인증 Challenge · 소유권 증명 · 2. ACME 프로토콜 Challenge 소유권 증명 Finalize · 인증서 발급 요청 · 2. ACME 프로토콜 Finalize 인증서 발급 요청 HTTP-01 · /.well-known/acme-challenge/ · 3. Challenge 솔버 HTTP-01 /.well-known/acme-challenge/ DNS-01 · _acme-challenge TXT 레코드 · 3. Challenge 솔버 DNS-01 _acme-challenge TXT 레코드 도메인 소유권 검증 · HTTP 요청 또는 DNS 조회 · 4. Let's Encrypt 도메인 소유권 검증 HTTP 요청 또는 DNS 조회 인증서 발급 · 서명된 인증서 반환 · 4. Let's Encrypt 인증서 발급 서명된 인증서 반환 Secret 저장 · tls.crt + tls.key · 5. 결과 Secret 저장 tls.crt + tls.key 성공 Legend 사용자 cert-manager Challenge 솔버 Secret ACME 리소스 Let's Encrypt

HTTP-01 솔버

  • • 웹 서버(Ingress 컨트롤러)를 통해 도메인 소유권을 증명
  • • 포트 80으로 /.well-known/acme-challenge/ 토큰 경로에 접근 가능해야 함

DNS-01 솔버

  • • DNS TXT 레코드로 도메인 소유권을 증명
  • • 와일드카드 인증서 발급에 필수
  • • Route 53은 IRSA/Pod Identity 등 임시 자격 증명과 DNS 권한이 필요

검증 경로 범위

  • • 기존 authorization 재사용 시 새 challenge가 필요 없을 수 있음
  • • ACM ACME는 관리자 사전 도메인 검증과 EAB 등록을 사용