Quels moyens centralisés utilisez-vous pour mettre à…

Pour la gestion et la surveillance centralisées des certificats, j'utilise les outils suivants:

HashiCorp Vault:
- Moteur de secrets pki. Permet d'émettre et de révoquer des certificats via API. S'intègre avec Ansible, Terraform, Kubernetes.
- Je l'utilise pour créer et mettre à jour automatiquement les certificats pour les services (TLS, mTLS).
Cert-Manager (pour Kubernetes):
- S'intègre nativement avec Kubernetes pour émettre automatiquement des certificats à partir de différents émetteurs (Let's Encrypt, Vault, CA internes).
- L'état des certificats est surveillé via des métriques certmanager_certificate_expiration_timestamp_seconds, exposées pour Prometheus.
OpenSSL + scripts personnalisés:
- Pour inventorier les certificats existants sur les serveurs.
- Les scripts collectent des données sur la validité (openssl x509 -noout -enddate -in certificate.pem), informations de l'émetteur et Subject.
- Les résultats sont agrégés dans un système centralisé (par exemple, Prometheus, Grafana).

#!/bin/bash

CERT_FILE=$1

if [ -f "$CERT_FILE" ]; then
    END_DATE=$(openssl x509 -noout -enddate -in $CERT_FILE 2>/dev/null | cut -d= -f2)
    END_TIMESTAMP=$(date -d "$END_DATE" +%s 2>/dev/null)

    if [ -n "$END_TIMESTAMP" ]; then
        echo "$END_TIMESTAMP"
    else
        echo "Erreur lors de l'analyse de la date de fin." 2>&1
        exit 1
    fi
else
    echo "Fichier de certificat non trouvé : $CERT_FILE" 2>&1
    exit 1
fi

Prometheus + Grafana:
- Prometheus collecte des métriques sur la validité des certificats (par exemple, via Node Exporter, Exportateur de boîte noire pour vérifications externes, métriques cert-manager).
- Je configure des alertes dans Alertmanager pour la proximité de l'expiration du certificat.
- Grafana est utilisé pour visualiser l'état des certificats et créer des tableaux de bord avec leurs dates d'expiration.
Surveillance des services externes:
- J'utilise Blackbox Exporter pour surveiller la disponibilité des services via HTTPS et vérifier la validité des certificats depuis l'extérieur.

modules:
  http_2xx:
    prober: http
    timeout: 5s
    http:
      preferred_ip_protocol: "ipv4"
      tls_config:
        insecure_skip_verify: false # Vérifie la validité du certificat

Le processus fonctionne ainsi:

Émission: Automatisée via Vault ou Cert-Manager.
Inventaire/Collecte de données: Scripts ou mécanismes intégrés d'exportateurs collectent des métriques.
Agrégation/Surveillance: Prometheus collecte des métriques, Alertmanager notifie en cas d'expiration proche.
Visualisation: Grafana montre l'état de tous les certificats.
Mise à jour: Automatique (Cert-Manager) ou semi-automatique (via Ansible/Terraform avec Vault).

C'est une approche centralisée permettant d'avoir une visibilité complète sur l'état des certificats sur tous les appareils et services contrôlés, minimisant les interruptions dues à des certificats expirés.

Quels moyens centralisés utilisez-vous pour mettre à jour et surveiller l'état des certificats sur les appareils finaux?