Какой у вас опыт в настройке циклического мониторинга состояния сертификата и его автоматической замены в DevOps?

Для мониторинга сертификатов использую комбинацию инструментов. Основной мониторинг состояния и срока действия сертификатов на веб-серверах и сервисах реализуется через:

1. Prometheus Exporters:

   • ssl exporter: Собирает метрики о сроках действия сертификатов с указанных endpoint'ов.
   • node exporter (в связке с текстовыми файлами): Может использоваться для мониторинга файлов сертификатов на файловой системе.

   Скрипты на Bash или Python регулярно проверяют состояние сертификатов (например, с помощью openssl x509 -in cert.pem -noout -enddate) и записывают результат в формат, понятный node exporter (textfile collector).

2. Alertmanager:

   • Настраиваю правила в Alertmanager для срабатывания оповещений (например, за 30, 7 и 1 день до истечения срока) на основе метрик из Prometheus.
   • Уведомления отправляются в Slack, почту или другие каналы связи.

Автоматическая замена сертификатов обычно реализуется с использованием ACME-клиентов, таких как certbot или lego.

1. Планирование задачи: Cron-джобы или системные таймеры (systemd timers) запускают ACME-клиент для проверки и обновления сертификатов.

   # Пример cron-записи для certbot
   0 */12 * * * root certbot renew --quiet --standalone --pre-hook "systemctl stop nginx" --post-hook "systemctl start nginx"
   

2. Автоматизация через CI/CD: Для более сложных сценариев или сред с использованием Kubernetes, процесс обновления сертификатов может быть интегрирован в CI/CD пайплайн.

   • Например, при использовании в кластере Kubernetes Ingress объектов с TLS, менеджер сертификатов типа cert-manager автоматизирует выпуск и обновление Let's Encrypt сертификатов, используя Controller и Custom Resource Definitions (CRD).

   # Пример Ingress с аннотациями для cert-manager
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: my-ingress
     annotations:
       cert-manager.io/cluster-issuer: "letsencrypt-prod"
   spec:
     tls:
     - hosts:
       - example.com
       secretName: example-com-tls
     rules:
     - host: example.com
       http:
         paths:
         - path: /
           pathType: Prefix
           backend:
             service:
               name: my-service
               port:
                 number: 80
   

3. Обновление конфигураций: После успешного обновления сертификатов, скрипты или пайплайны перезагружают или перечитывают конфигурации сервисов (веб-серверов, балансировщиков нагрузки), чтобы они начали использовать новый сертификат.

Сочетание мониторинга и автоматизации минимизирует риск отказа сервисов из-за просроченных сертификатов.