spike: trial own/self-signed and ACME certs on quickstart.nrs.gov.bc.ca

Đang mở
  • Có gì không ổn?
#2,928 0 bình luận 0 reaction 1 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

@DerekRoberts đang làm issue này rồi.

Từ ngày 30/10/2026.

Đánh giá

Issue này chưa được đánh giá.

Mô tả

Context

DNS for https://quickstart.nrs.gov.bc.ca/ is in place (#2924 / SD-189103). Installing TLS via Entrust + route-tls is already the known path. What we have not recorded or demonstrated is whether we can (or cannot) use our own certificates on that vanity host — including free ACME — instead of paid/manual Entrust ordering.

North star (not today)

A reusable pattern for OpenShift projects to update their own TLS — likely an action in bcgov/actions-openshift, possibly wired with bcgov/nr-cert-monitor. Today's work is the canary that informs that design.

Goal (this issue)

Ship a quickstart-openshift PR that tries one or more non-Entrust options against the live vanity route and leaves a clear result: worked, blocked by platform/policy, or blocked by tooling. Prefer empirical evidence over waiting on an unknown OCIO/ministry contact.

Options to try (prototype, not product)

  1. Let's Encrypt (ACME) — HTTP-01 and/or DNS-01 if available on this host/cluster.
  2. bcgov/cert-manager-proxy (Conor's ACME + DNS-check proxy) — if the namespace can use it.
  3. Self-signed / personal test CA — prove OpenShift route + browser path with a cert we mint ourselves (short-lived).
  4. Any other free/public ACME CA we can reach from the cluster without a new paid Entrust order.

Out of scope for this issue: making vanity SSL self-serve for every team, or changing Entrust process. This is a canary/demo on quickstart only.

Acceptance

  • Options and constraints written here (or linked) so the idea is not only in chat.
  • At least one PR on bcgov/quickstart-openshift that applies a non-Entrust cert (or documents the exact failure) to the quickstart.nrs.gov.bc.ca route via route-tls or equivalent.
  • Short write-up in the PR: what worked, what failed, and whether ACME is viable for gov.bc.ca vanity here.
  • Notes that feed a future actions-openshift (and optionally nr-cert-monitor) reusable pattern — no need to ship that action in this issue.

Refs

  • Vanity request: #2924
  • route-tls + CSR directions: bcgov/actions-openshift
  • Related experiment: bcgov/cert-manager-proxy
  • Cert expiry monitor: bcgov/nr-cert-monitor
Ngôn ngữ chính
TypeScript
Star
32
Fork
10
Merge trung bình
3 giờ 54 phút
Pull request đã merge (30 ngày)
43

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của bcgov/quickstart-openshift

Tất cả issue của bcgov/quickstart-openshift

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.