Как работает Kubernetes Ingress с Let's Encrypt?

cert-manager + nginx-ingress + Let's Encrypt — стандартный стек. На Ingress добавляют аннотацию cert-manager.io/cluster-issuer: letsencrypt-prod и tls секцию. cert-manager создаёт Certificate объект, запускает ACME HTTP-01 или DNS-01 challenge, получает сертификат и сохраняет в Secret. nginx-ingress читает Secret и настраивает TLS. Обновление автоматическое за 30 дней до истечения.