Fișierul keryn.yamlThe keryn.yaml file
Domenii și TLSDomains and TLS
Fiecare domeniu declarat primește un certificat Let’s Encrypt emis și reînnoit automat. Traficul HTTPS intră prin controlerul Traefik inclus în k3s.
Every declared domain gets a Let’s Encrypt certificate issued and renewed automatically. HTTPS traffic enters through the Traefik controller bundled with k3s.
ConfigurareConfiguration
tls:
email: [email protected] # contact Let's Encrypt
staging: false # true pentru probe
apps:
web:
domains: [shop.example.com, www.shop.example.com]Înregistrări DNSDNS records
Înainte de apply, fiecare domeniu trebuie să aibă o înregistrare A către o gazdă a grupului. Emiterea folosește provocarea HTTP-01, deci portul 80 trebuie să fie accesibil din internet.
Before apply, every domain needs an A record pointing to a cluster host. Issuance uses the HTTP-01 challenge, so port 80 must be reachable from the internet.
EmitențiIssuers
Keryn creează doi emitenți la nivel de grup: keryn-letsencrypt (producție) și keryn-letsencrypt-staging (probă). Câmpul staging alege emitentul pentru toate aplicațiile.
Keryn creates two cluster-wide issuers: keryn-letsencrypt (production) and keryn-letsencrypt-staging (staging). The staging field picks the issuer for every app.
Politică de rețea pentru emitereNetwork policy for issuance
Politica implicită refuză traficul de intrare. Keryn adaugă o excepție exactă pentru podurile temporare cert-manager care răspund provocării; fără ea, emiterea s-ar bloca fără eroare vizibilă.
The default policy denies inbound traffic. Keryn adds an exact exception for the temporary cert-manager pods that answer the challenge; without it, issuance would stall with no visible error.
Certificate de producțieProduction certificates
Proba din 16.10.2026 a folosit mediul de probă Let’s Encrypt. Emiterea în producție are o poartă deschisă.
The 16.10.2026 trial used the Let’s Encrypt staging environment. Production issuance has an open gate.