Quelle est votre expérience dans la configuration de…

Pour la surveillance des certificats, j’utilise une combinaison d’outils. La surveillance principale de l’état et de la validité des certificats sur les serveurs web et les services est réalisée via :

Exportateurs Prometheus :
- ssl exporter : collecte des métriques sur la durée de vie des certificats à partir des endpoints indiqués.
- node exporter (en association avec des fichiers texte) : peut être utilisé pour surveiller les fichiers de certificats sur le système de fichiers.
Scripts en Bash ou Python vérifient régulièrement l’état des certificats (par exemple, avec openssl x509 -in cert.pem -noout -enddate) et enregistrent le résultat dans un format compréhensible par node exporter (textfile collector).
Alertmanager :
- Je configure des règles dans Alertmanager pour déclencher des alertes (par exemple, 30, 7 et 1 jour avant l’expiration) basées sur les métriques de Prometheus.
- Les notifications sont envoyées à Slack, email ou autres canaux.

Le remplacement automatique des certificats est généralement réalisé avec des clients ACME, comme certbot ou lego.

Planification de tâches : Cron ou timers système (timers systemd) exécutent le client ACME pour vérifier et renouveler les certificats.

# Exemple d’entrée cron pour certbot
0 */12 * * * root certbot renew --quiet --standalone --pre-hook "systemctl stop nginx" --post-hook "systemctl start nginx"

Automatisation via CI/CD : Pour des scénarios plus complexes ou des environnements Kubernetes, le processus de mise à jour des certificats peut être intégré dans le pipeline CI/CD.

Par exemple, dans un cluster Kubernetes avec objets Ingress TLS, le gestionnaire de certificats cert-manager automatise la délivrance et le renouvellement des certificats Let's Encrypt, en utilisant Controller et CRD.

# Exemple d’Ingress avec annotations pour cert-manager
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-ingress
  annotations:
    cert-manager.io/cluster-issuer: "letsencrypt-prod"
spec:
  tls:
  - hosts:
    - example.com
    secretName: example-com-tls
  rules:
  - host: example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: my-service
            port:
              number: 80

Mise à jour des configurations : Après une mise à jour réussie des certificats, les scripts ou pipelines redémarrent ou relisent les configurations des services (serveurs web, équilibrages de charge) pour qu’ils commencent à utiliser le nouveau certificat.

La combinaison de la surveillance et de l’automatisation minimise le risque de défaillance des services en raison de certificats expirés.

Quelle est votre expérience dans la configuration de la surveillance cyclique de l'état du certificat et son remplacement automatique dans DevOps?