Изменение эмитента (с HTTP01 на DNS01 проверка ACME) сертификата в диспетчере сертификатов

У меня есть сертификат, управляемый cert-manager, в кластере Kubernetes. Раньше его обновляли/проверяли с помощью запроса HTTP01 ACME, но из-за ограничений безопасности (брандмауэра) это больше невозможно. Мне нужно переключиться на вызов DNS01 ACME (Cloudflare).

Я думаю, мне нужно изменить эмитента сletsencrypt-prodкletsencrypt-prod-cloudflareкоторый я создал для этого... но я не могу. Я попробовал сkubectl patchс иkubectl editбезуспешно:

До:

Пытаюсь пропатчить:

      $ kubectl patch certificates.cert-manager.io tls-certificate -p '{"spec":{"issuerRef":{"name":"letsencrypt-prod-cloudflare"}}}'
Error from server (UnsupportedMediaType): the body of the request was in an unknown format - accepted media types include: application/json-patch+json, application/merge-patch+json, application/apply-patch+yaml

Редактирование, похоже, не дает сбоев:

      $ kubectl edit certificates.cert-manager.io tls-certificate 
certificate.cert-manager.io/tls-certificate edited

... но сертификат все еще не изменился:

      $ kubectl get certificates.cert-manager.io tls-certificate -o=jsonpath='{.spec.issuerRef}' | jq
{
  "group": "cert-manager.io",
  "kind": "ClusterIssuer",
  "name": "letsencrypt-prod"
}

Итак... есть идеи, как переключиться с HTTP01 на DNS01? Спасибо!