Какие централизованные средства вы используете для обновления и мониторинга состояния сертификатов на конечных устройствах?

Для централизованного управления и мониторинга сертификатов использую следующие инструменты:

1. HashiCorp Vault:
   • Secrets Engine pki. Позволяет выдавать и отзывать сертификаты через API. Интегрируется с Ansible, Terraform, Kubernetes.
   • Использую для автоматического создания и обновления сертификатов для сервисов (TLS, mTLS).
2. Cert-Manager (для Kubernetes):
   • Нативно интегрируется с Kubernetes для автоматической выдачи сертификатов от различных Issuer (Let's Encrypt, Vault, внутренние CA).
   • Мониторинг состояния сертификатов осуществляется через метрики certmanager_certificate_expiration_timestamp_seconds, которые экспонируются для Prometheus.
3. OpenSSL + кастомные скрипты:
   • Для инвентаризации существующих сертификатов на серверах.
   • Скрипты собирают данные о сроке действия (openssl x509 -noout -enddate -in certificate.pem), информацию о издателе иSubject.
   • Результаты агрегируются в централизованной системе (например, Prometheus, Grafana).

   #!/bin/bash
   
   CERT_FILE=$1
   
   if [ -f "$CERT_FILE" ]; then
       # Получаем дату окончания срока действия в формате YYYY-MM-DD HH:MM:SS
       END_DATE=$(openssl x509 -noout -enddate -in $CERT_FILE 2>/dev/null | cut -d= -f2)
       # Преобразуем в Unix timestamp
       END_TIMESTAMP=$(date -d "$END_DATE" +%s 2>/dev/null)
   
       if [ -n "$END_TIMESTAMP" ]; then
           echo "$END_TIMESTAMP"
       else
           echo "Error parsing end date." 2>&1
           exit 1
       fi
   else
       echo "Certificate file not found: $CERT_FILE" 2>&1
       exit 1
   fi
   

4. Prometheus + Grafana:
   • Прометей собирает метрики о сроке действия сертификатов (например, через Node Exporter, Черный ящик экспортер для внешних проверок, метрики cert-manager).
   • Настраиваю алерты в Alertmanager на приближающийся срок истечения сертификата.
   • Grafana используется для визуализации состояния сертификатов, создания дашбордов с сроками их действия.
5. Мониторинг внешних сервисов:
   • Использую Blackbox Exporter для мониторинга доступности сервисов по HTTPS и проверки валидности сертификатов с внешней стороны.

   modules:
     http_2xx:
       prober: http
       timeout: 5s
       http:
         preferred_ip_protocol: "ipv4"
         tls_config:
           insecure_skip_verify: false # Проверяем валидность сертификата
   

Процесс выглядит так:

• Выдача: Автоматизированная через Vault или Cert-Manager.
• Инвентаризация/Сбор данных: Скрипты или встроенные механизмы экспортеров собирают метрики.
• Агрегация/Мониторинг: Prometheus собирает метрики, Alertmanager уведомляет о приближающемся истечении.
• Визуализация: Grafana показывает состояние всех сертификатов.
• Обновление: Автоматическое (Cert-Manager) или полуавтоматическое (через Ansible/Terraform с Vault).

Это централизованный подход, позволяющий иметь полную видимость состояния сертификатов на всех контролируемых конечных устройствах и сервисах и минимизировать простои из-за просроченных сертификатов.