Qual è la tua esperienza nella configurazione del monitoraggio ciclico dello stato del certificato e della sua sostituzione automatica in DevOps?

Per il monitoraggio dei certificati utilizzo una combinazione di strumenti. Il monitoraggio principale dello stato e della validità dei certificati sui server web e sui servizi viene eseguito tramite:

1. Exporter di Prometheus:

   • ssl exporter: raccoglie metriche sulla durata di validità dei certificati dagli endpoint indicati.
   • node exporter (in combinazione con file di testo): può essere usato per monitorare i file dei certificati nel filesystem.

   Script in Bash o Python verificano regolarmente lo stato dei certificati (ad esempio, usando openssl x509 -in cert.pem -noout -enddate) e registrano il risultato in un formato comprensibile da node exporter (textfile collector).

2. Alertmanager:

   • Configuro regole in Alertmanager per attivare avvisi (ad esempio, 30, 7 e 1 giorno prima della scadenza) basati sulle metriche di Prometheus.
   • Le notifiche vengono inviate a Slack, email o altri canali.

La sostituzione automatica dei certificati viene generalmente eseguita utilizzando client ACME come certbot o lego.

1. Pianificazione delle attività: Cron o timer di sistema (timers di systemd) avviano il client ACME per verificare e rinnovare i certificati.

   # Esempio di cron per certbot
   0 */12 * * * root certbot renew --quiet --standalone --pre-hook "systemctl stop nginx" --post-hook "systemctl start nginx"
   

2. Automazione tramite CI/CD: Per scenari più complessi o ambienti con Kubernetes, il processo di aggiornamento dei certificati può essere integrato nel pipeline CI/CD.

   • Ad esempio, in un cluster Kubernetes con oggetti Ingress con TLS, il gestore dei certificati cert-manager automatizza l'emissione e il rinnovo dei certificati Let's Encrypt, utilizzando Controller e CRD.

   # Esempio di Ingress con annotazioni per cert-manager
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: my-ingress
     annotations:
       cert-manager.io/cluster-issuer: "letsencrypt-prod"
   spec:
     tls:
     - hosts:
       - example.com
       secretName: example-com-tls
     rules:
     - host: example.com
       http:
         paths:
         - path: /
           pathType: Prefix
           backend:
             service:
               name: my-service
               port:
                 number: 80
   

3. Aggiornamento delle configurazioni: Dopo un aggiornamento riuscito dei certificati, gli script o le pipeline riavviano o ricaricano le configurazioni dei servizi (server web, bilanciatori di carico) affinché inizino a usare il nuovo certificato.

La combinazione di monitoraggio e automazione minimizza il rischio di fallimenti dei servizi a causa di certificati scaduti.