Kokia jūsų patirtis ciklinio sertifikato būsenos stebėjimo ir jo automatinės keitimo nustatymo DevOps?

Sertifikatų stebėsenai naudoju įvairių įrankių derinį. Pagrindinis būdas stebėti būklę ir galiojimo laiką sertifikatuose interneto serveriuose ir paslaugose yra:

1. Prometheus Exporters:

   • ssl exporter: renka metrikas apie sertifikatų galiojimo laiką nurodytuose endpointuose.
   • node exporter (su tekstiniais failais): gali būti naudojamas sertifikatų failų stebėjimui failų sistemoje.

   Bash arba Python skriptai reguliariai tikrina sertifikatų būklę (pavyzdžiui, openssl x509 -in cert.pem -noout -enddate) ir įrašo rezultatą į formatą, kurį supranta node exporter (textfile collector).

2. Alertmanager:

   • Nustatau Alertmanager taisykles įspėjimams (pavyzdžiui, 30, 7 ir 1 diena iki galiojimo pabaigos) pagal Prometheus metrikas.
   • Įspėjimai siunčiami į Slack, el. paštą ar kitus kanalus.

Automatinis sertifikatų keitimas dažniausiai įgyvendinamas naudojant ACME klientus, tokius kaip certbot ar lego.

1. Užduoties planavimas:

   • Cron darbai arba sisteminiai laikmačiai (systemd timers) paleidžia ACME klientą sertifikatų tikrinimui ir atnaujinimui.

   # Pavyzdinis cron įrašas certbot
   0 */12 * * * root certbot renew --quiet --standalone --pre-hook "systemctl stop nginx" --post-hook "systemctl start nginx"
   

2. Automatizacija per CI/CD:

   • Sudėtingesnėse scenarijuose arba Kubernetes aplinkoje sertifikatų atnaujinimo procesas gali būti integruotas į CI/CD pipeline.
   • Pavyzdžiui, naudojant Kubernetes Ingress objektus su TLS, sertifikatų valdytojas cert-manager automatiškai išduoda ir atnaujina Let's Encrypt sertifikatus, naudodamas Controller ir Custom Resource Definitions (CRD).

# Ingress pavyzdys su `cert-manager` anotacijomis
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-ingress
  annotations:
    cert-manager.io/cluster-issuer: "letsencrypt-prod"
spec:
  tls:
  - hosts:
    - example.com
    secretName: example-com-tls
  rules:
  - host: example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: my-service
            port:
              number: 80

3. Konfigūracijų atnaujinimas:
   • Sėkmingai atnaujinus sertifikatus, skriptai arba pipeline'ai perkrauna arba perskaito paslaugų konfigūracijas (web serverius, apkrovos paskirstytojus), kad jie pradėtų naudoti naują sertifikatą.

Sąveika tarp stebėjimo ir automatizavimo sumažina riziką, kad paslaugos gali nepavykti dėl pasibaigusių sertifikatų.