spike: trial own/self-signed and ACME certs on quickstart.nrs.gov.bc.ca
メンテナーはふだん 1 日以内に返信
@DerekRoberts がすでに取り組んでいます。
2026年10月30日 から。
評価
この issue はまだ評価されていません。
説明
Context
DNS for https://quickstart.nrs.gov.bc.ca/ is in place (#2924 / SD-189103). Installing TLS via Entrust + route-tls is already the known path. What we have not recorded or demonstrated is whether we can (or cannot) use our own certificates on that vanity host — including free ACME — instead of paid/manual Entrust ordering.
North star (not today)
A reusable pattern for OpenShift projects to update their own TLS — likely an action in bcgov/actions-openshift, possibly wired with bcgov/nr-cert-monitor. Today's work is the canary that informs that design.
Goal (this issue)
Ship a quickstart-openshift PR that tries one or more non-Entrust options against the live vanity route and leaves a clear result: worked, blocked by platform/policy, or blocked by tooling. Prefer empirical evidence over waiting on an unknown OCIO/ministry contact.
Options to try (prototype, not product)
- Let's Encrypt (ACME) — HTTP-01 and/or DNS-01 if available on this host/cluster.
bcgov/cert-manager-proxy(Conor's ACME + DNS-check proxy) — if the namespace can use it.- Self-signed / personal test CA — prove OpenShift route + browser path with a cert we mint ourselves (short-lived).
- Any other free/public ACME CA we can reach from the cluster without a new paid Entrust order.
Out of scope for this issue: making vanity SSL self-serve for every team, or changing Entrust process. This is a canary/demo on quickstart only.
Acceptance
- Options and constraints written here (or linked) so the idea is not only in chat.
- At least one PR on
bcgov/quickstart-openshiftthat applies a non-Entrust cert (or documents the exact failure) to thequickstart.nrs.gov.bc.caroute viaroute-tlsor equivalent. - Short write-up in the PR: what worked, what failed, and whether ACME is viable for gov.bc.ca vanity here.
- Notes that feed a future
actions-openshift(and optionallynr-cert-monitor) reusable pattern — no need to ship that action in this issue.
Refs
- Vanity request: #2924
route-tls+ CSR directions:bcgov/actions-openshift- Related experiment:
bcgov/cert-manager-proxy - Cert expiry monitor:
bcgov/nr-cert-monitor
- 主要言語
- TypeScript
- スター
- 32
- フォーク
- 10
- 平均マージ
- 4時間 13分
- マージ済み PR（30日）
- 45
環境構築
- Dockerfile または Docker Compose ファイルあり
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
bcgov/quickstart-openshift のほかの issue
-
Prefer native fetch over Axios in frontend (and integration tests)対応中かも @DerekRoberts が 6 日前に担当しました。 オープン
bcgov/quickstart-openshift#2930 · 担当者 1 名 ·
メンテナーはふだん 1 日以内に返信
-
chore(ci): move to consolidated bcgov/actions and actions-openshift対応中かも @DerekRoberts が 28 日前に担当しました。 オープン
bcgov/quickstart-openshift#2881 · 担当者 1 名 ·
メンテナーはふだん 1 日以内に返信
-
ZAP Security Reportオープン
難易度 4/5 3〜5日 初心者へのやさしさ 25/100
bcgov/quickstart-openshift#2818 · コメント 3 件 ·
メンテナーはふだん 1 日以内に返信
-
refactor(ci): migrate triggers to standard multiline string format再び着手できるかも @DerekRoberts が 115 日前に担当しましたが、オープン中のプルリクエストはありません。 オープン
bcgov/quickstart-openshift#2821 · 担当者 1 名 ·
メンテナーはふだん 1 日以内に返信
-
feat: FDS QuickStart再び着手できるかも @DerekRoberts が 117 日前に担当しましたが、オープン中のプルリクエストはありません。 オープン
bcgov/quickstart-openshift#2779 · 担当者 2 名 ·
メンテナーはふだん 1 日以内に返信
bcgov/quickstart-openshift の issue をすべて見る
似ている issue
-
documentation good first issue roadmap
難易度 1/5 1〜3時間 初心者へのやさしさ 68/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
resend/react-email#3876 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
siyuan-note/siyuan#21324 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 74/100
dmno-dev/varlock#1279 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
bug
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
himynameisdave/bsky-profanity-counter#59 ·
メンテナーはふだん 1 日以内に返信