¿Qué medios centralizados utiliza para actualizar y…

Para la gestión y monitoreo centralizado de certificados, utilizo las siguientes herramientas:

HashiCorp Vault:
- Motor de secretos pki. Permite emitir y revocar certificados a través de API. Se integra con Ansible, Terraform, Kubernetes.
- Lo uso para crear y actualizar automáticamente certificados para servicios (TLS, mTLS).
Cert-Manager (para Kubernetes):
- Se integra nativamente con Kubernetes para emitir automáticamente certificados de diferentes emisores (Let's Encrypt, Vault, CA internos).
- El estado de los certificados se monitorea mediante métricas certmanager_certificate_expiration_timestamp_seconds, expuestas para Prometheus.
OpenSSL + scripts personalizados:
- Para inventariar los certificados existentes en los servidores.
- Los scripts recopilan datos sobre la validez (openssl x509 -noout -enddate -in certificate.pem), información del emisor y Subject.
- Los resultados se agregan en un sistema centralizado (por ejemplo, Prometheus, Grafana).

#!/bin/bash

CERT_FILE=$1

if [ -f "$CERT_FILE" ]; then
    END_DATE=$(openssl x509 -noout -enddate -in $CERT_FILE 2>/dev/null | cut -d= -f2)
    END_TIMESTAMP=$(date -d "$END_DATE" +%s 2>/dev/null)

    if [ -n "$END_TIMESTAMP" ]; then
        echo "$END_TIMESTAMP"
    else
        echo "Error parsing end date." 2>&1
        exit 1
    fi
else
    echo "Certificate file not found: $CERT_FILE" 2>&1
    exit 1
fi

Prometheus + Grafana:
- Prometheus recopila métricas sobre la validez de los certificados (por ejemplo, mediante Node Exporter, Exportador de caja negra para verificaciones externas, métricas de cert-manager).
- Configuro alertas en Alertmanager para el vencimiento próximo del certificado.
- Grafana se usa para visualizar el estado de los certificados y crear paneles con sus fechas de vencimiento.
Monitoreo de servicios externos:
- Uso Blackbox Exporter para monitorear la disponibilidad de servicios vía HTTPS y verificar la validez de los certificados desde el exterior.

modules:
  http_2xx:
    prober: http
    timeout: 5s
    http:
      preferred_ip_protocol: "ipv4"
      tls_config:
        insecure_skip_verify: false # Verifica la validez del certificado

El proceso funciona así:

Emisión: Automatizada mediante Vault o Cert-Manager.
Inventario/Recopilación de datos: Scripts o mecanismos integrados de exportadores recopilan métricas.
Agregación/Monitoreo: Prometheus recopila métricas, Alertmanager notifica sobre vencimientos próximos.
Visualización: Grafana muestra el estado de todos los certificados.
Actualización: Automática (Cert-Manager) o semi-automática (a través de Ansible/Terraform con Vault).

Este es un enfoque centralizado que permite tener una visión completa del estado de los certificados en todos los dispositivos y servicios controlados, minimizando los tiempos de inactividad por certificados vencidos.

¿Qué medios centralizados utiliza para actualizar y monitorear el estado de los certificados en los dispositivos finales?