Жыйынтык түзмөктөрүндө сертификаттардын абалын…

Централизован башкаруу жана сертификаттарды көзөмөлдөө үчүн мен төмөнкү инструменттерди колдонуп жатам:

HashiCorp Vault:
- Secrets Engine pki. API аркылуу сертификаттарды чыгарууга жана жокко чыгарууга мүмкүндүк берет. Ansible, Terraform, Kubernetes менен интеграцияланат.
- Мен автоматтык түрдө кызматтар үчүн (TLS, mTLS) сертификаттарды түзүү жана жаңыртуу үчүн колдонуп жатам.
Cert-Manager (Kubernetes үчүн):
- Табигый түрдө Kubernetes менен интеграцияланат жана ар түрдүү Issuerлерден (Let's Encrypt, Vault, ички CA) автоматтык түрдө сертификаттарды чыгара алат.
- Сертификаттардын абалы certmanager_certificate_expiration_timestamp_seconds метрикалары аркылуу көзөмөлдөнөт, алар Prometheus үчүн экспортоолот.

OpenSSL + өзгөчөлөнгөн скрипттер:

Серверлердеги бар сертификаттарды инвентаризациялоо үчүн.
Скрипттер мөөнөтүн (openssl x509 -noout -enddate -in certificate.pem) жана чыгарган тарап жана Subject тууралуу маалыматтарды чогултат.
Натыйжалар борборлоштурулган системага (мисалы, Prometheus, Grafana) чогултулат.

#!/bin/bash

CERT_FILE=$1

if [ -f "$CERT_FILE" ]; then
    # Мөөнөтүнүн аяктоо датасын YYYY-MM-DD HH:MM:SS форматында алуу
    END_DATE=$(openssl x509 -noout -enddate -in $CERT_FILE 2>/dev/null | cut -d= -f2)
    # Unix timestampке которуу
    END_TIMESTAMP=$(date -d "$END_DATE" +%s 2>/dev/null)

    if [ -n "$END_TIMESTAMP" ]; then
        echo "$END_TIMESTAMP"
    else
        echo "Аякталуучу датаны талдоо ката." 2>&1
        exit 1
    fi
else
    echo "Сертификат файлы табылган жок: $CERT_FILE" 2>&1
    exit 1
fi

Prometheus + Grafana:
- Prometheus сертификаттардын мөөнөтүн өлчөөчү метрикаларды чогултат (мисалы, Node Exporter, Blackbox Exporter сырткы текшерүүлөр үчүн, cert-manager метрикалары).
- Алерттерди Alertmanagerде орнотуп, сертификаттын мөөнөтү жакындап калганда кабар берет.
- Grafana бардык сертификаттардын абалын визуалдаштыруу жана мөөнөттөрү боюнча панелдер түзүү үчүн колдонулат.
Чет өлкөлүк кызматтарды көзөмөлдөө:
- Blackbox Exporter колдонуп, HTTPS аркылуу кызматтардын жеткиликтүүлүгүн жана сертификаттын жарактуулугун сырттан текшерем.
```
modules:
  http_2xx:
    prober: http
    timeout: 5s
    http:
      preferred_ip_protocol: "ipv4"
      tls_config:
        insecure_skip_verify: false # Сертификаттын жарактуулугун текшерүү
```

Процесс мындай көрүнөт:

Чыгаруу: Vault же Cert-Manager аркылуу автоматтык түрдө.
Инвентаризация/Маалымат чогултуу: Скрипттер же встроендик механизмдер метрикаларды чогултат.
Агрегация/Мониторинг: Prometheus метрикаларды чогултат, Alertmanager жакындап калганда кабар берет.
Визуалдаштыруу: Grafana бардык сертификаттардын абалын көрсөтөт.
Жаңыртуу: Автоматтык (Cert-Manager) же жарым-автоматтык (Ansible/Terraform жана Vault аркылуу).

Бул борборлоштурулган ыкма, ал бардык көзөмөлдөп жаткан түзмөктөрдө жана кызматтарда сертификаттардын абалын толук көрүүгө мүмкүндүк берет жана мөөнөтү өтүп кеткен сертификаттардын себептүү үзгүлтүктөрүн минималдаштырат.

Жыйынтык түзмөктөрүндө сертификаттардын абалын жаңыртуу жана көзөмөлдөө үчүн кайсы борборлоштурулган каражаттарды колдонуп жатасыз?