Wat is uw ervaring met het instellen van cyclisch toezicht op de status van het certificaat en de automatische vervanging ervan in DevOps?

Voor het monitoren van certificaten gebruik ik een combinatie van tools. Het belangrijkste monitoringsproces voor de status en vervaldatum van certificaten op webservers en services wordt uitgevoerd via:

1. Prometheus Exporters:

   • ssl exporter: verzamelt metrics over de geldigheidstermijn van certificaten vanaf de aangegeven endpoints.
   • node exporter (in combinatie met tekstbestanden): kan worden gebruikt om certificaatbestanden op het bestandssysteem te monitoren.

   Bash- of Python-scripts controleren regelmatig de status van certificaten (bijvoorbeeld met openssl x509 -in cert.pem -noout -enddate) en schrijven het resultaat in een formaat dat door node exporter (textfile collector) wordt begrepen.

2. Alertmanager:

   • Ik stel regels in Alertmanager in om waarschuwingen te activeren (bijvoorbeeld 30, 7 en 1 dag voor vervaldatum) op basis van metrics van Prometheus.
   • Meldingen worden verzonden naar Slack, e-mail of andere communicatiekanalen.

Automatische vervanging van certificaten wordt meestal gedaan met behulp van ACME-clients zoals certbot of lego.

1. Taakplanning: Cron-jobs of systeemtimers (systemd-timers) starten de ACME-client om certificaten te controleren en te vernieuwen.

   # Voorbeeld cron-invoer voor certbot
   0 */12 * * * root certbot renew --quiet --standalone --pre-hook "systemctl stop nginx" --post-hook "systemctl start nginx"
   

2. Automatisering via CI/CD: Voor complexere scenario's of Kubernetes-omgevingen kan het proces van certificaatvernieuwing worden geïntegreerd in de CI/CD-pipeline.

   • Bijvoorbeeld, in een Kubernetes-cluster met TLS Ingress-objecten, automatiseert cert-manager het uitgeven en vernieuwen van Let's Encrypt-certificaten met behulp van Controller en CRD.

   # Voorbeeld Ingress met annotaties voor cert-manager
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: my-ingress
     annotations:
       cert-manager.io/cluster-issuer: "letsencrypt-prod"
   spec:
     tls:
     - hosts:
       - example.com
       secretName: example-com-tls
     rules:
     - host: example.com
       http:
         paths:
         - path: /
           pathType: Prefix
           backend:
             service:
               name: my-service
               port:
                 number: 80
   

3. Configuratie-updates: Na succesvolle certificaatvernieuwing herstart of herlees scripts of pipelines de services (webservers, load balancers) zodat ze het nieuwe certificaat gaan gebruiken.

De combinatie van monitoring en automatisering minimaliseert het risico op service-uitval door verlopen certificaten.