Welche zentralisierten Mittel verwenden Sie, um den…

Für die zentrale Verwaltung und Überwachung von Zertifikaten verwende ich folgende Tools:

HashiCorp Vault:
- Secrets Engine pki. Ermöglicht das Ausstellen und Widerrufen von Zertifikaten über API. Integriert mit Ansible, Terraform, Kubernetes.
- Ich verwende es, um Zertifikate für Dienste (TLS, mTLS) automatisch zu erstellen und zu aktualisieren.
Cert-Manager (für Kubernetes):
- Integriert nativ mit Kubernetes, um Zertifikate automatisch von verschiedenen Ausstellern (Let's Encrypt, Vault, interne CA) auszustellen.
- Der Status der Zertifikate wird über Metriken certmanager_certificate_expiration_timestamp_seconds überwacht, die für Prometheus bereitgestellt werden.
OpenSSL + benutzerdefinierte Skripte:
- Zur Inventarisierung der bestehenden Zertifikate auf Servern.
- Die Skripte sammeln Daten zur Gültigkeit (openssl x509 -noout -enddate -in certificate.pem), Informationen zum Aussteller und Subject.
- Die Ergebnisse werden in einem zentralen System aggregiert (z.B. Prometheus, Grafana).

#!/bin/bash

CERT_FILE=$1

if [ -f "$CERT_FILE" ]; then
    END_DATE=$(openssl x509 -noout -enddate -in $CERT_FILE 2>/dev/null | cut -d= -f2)
    END_TIMESTAMP=$(date -d "$END_DATE" +%s 2>/dev/null)

    if [ -n "$END_TIMESTAMP" ]; then
        echo "$END_TIMESTAMP"
    else
        echo "Fehler beim Parsen des Enddatums." 2>&1
        exit 1
    fi
else
    echo "Zertifikatdatei nicht gefunden: $CERT_FILE" 2>&1
    exit 1
fi

Prometheus + Grafana:
- Prometheus sammelt Metriken über die Gültigkeit der Zertifikate (z.B. über Node Exporter, Blackbox Exporter für externe Prüfungen, Metriken von cert-manager).
- Ich konfiguriere Alarme im Alertmanager für das bevorstehende Ablaufdatum des Zertifikats.
- Grafana wird verwendet, um den Zustand aller Zertifikate zu visualisieren und Dashboards mit deren Ablaufdaten zu erstellen.
Monitoring externer Dienste:
- Ich verwende Blackbox Exporter, um die Verfügbarkeit von Diensten über HTTPS zu überwachen und die Gültigkeit der Zertifikate von außen zu prüfen.

modules:
  http_2xx:
    prober: http
    timeout: 5s
    http:
      preferred_ip_protocol: "ipv4"
      tls_config:
        insecure_skip_verify: false # Überprüfung der Zertifikatsgültigkeit

Der Prozess funktioniert folgendermaßen:

Ausstellung: Automatisiert durch Vault oder Cert-Manager.
Inventarisierung/Sammlung von Daten: Skripte oder integrierte Exporter sammeln Metriken.
Aggregation/Überwachung: Prometheus sammelt Metriken, Alertmanager benachrichtigt bei bevorstehendem Ablauf.
Visualisierung: Grafana zeigt den Zustand aller Zertifikate.
Aktualisierung: Automatisch (Cert-Manager) oder halbautomatisch (über Ansible/Terraform mit Vault).

Dies ist ein zentralisierter Ansatz, der eine vollständige Übersicht über den Zustand der Zertifikate auf allen kontrollierten Geräten und Diensten ermöglicht und Ausfallzeiten durch abgelaufene Zertifikate minimiert.

Welche zentralisierten Mittel verwenden Sie, um den Status der Zertifikate auf Endgeräten zu aktualisieren und zu überwachen?