Jakie masz doświadczenie w konfigurowaniu cyklicznego monitorowania stanu certyfikatu i jego automatycznej wymiany w DevOps?

Do monitorowania certyfikatów używam kombinacji narzędzi. Główne monitorowanie stanu i ważności certyfikatów na serwerach WWW i usługach realizuje się za pomocą:

1. Eksportery Prometheus:

   • ssl exporter: zbiera metryki o czasie ważności certyfikatów z wskazanych endpointów.
   • node exporter (w połączeniu z plikami tekstowymi): może być używany do monitorowania plików certyfikatów w systemie plików.

   Skrypty w Bash lub Python regularnie sprawdzają stan certyfikatów (np. za pomocą openssl x509 -in cert.pem -noout -enddate) i zapisują wynik w formacie zrozumiałym dla node exporter (textfile collector).

2. Alertmanager:

   • Konfiguruję reguły w Alertmanagerze, aby wywołać powiadomienia (np. 30, 7 i 1 dzień przed wygaśnięciem) na podstawie metryk z Prometheus.
   • Powiadomienia są wysyłane do Slacka, e-maili lub innych kanałów komunikacji.

Automatyczna wymiana certyfikatów zwykle realizowana jest za pomocą klientów ACME, takich jak certbot lub lego.

1. Planowanie zadań: Cron lub timery systemowe (timery systemd) uruchamiają klienta ACME do sprawdzania i odnawiania certyfikatów.

   # Przykład wpisu w cronie dla certbota
   0 */12 * * * root certbot renew --quiet --standalone --pre-hook "systemctl stop nginx" --post-hook "systemctl start nginx"
   

2. Automatyzacja przez CI/CD: Dla bardziej skomplikowanych scenariuszy lub środowisk Kubernetes, proces odświeżania certyfikatów może być zintegrowany z pipeline CI/CD.

   • Na przykład, w klastrze Kubernetes z obiektami Ingress z TLS, menedżer certyfikatów cert-manager automatyzuje wydawanie i odnowę certyfikatów Let's Encrypt, korzystając z Controller i CRD.

   # Przykład Ingress z adnotacjami dla cert-manager
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: my-ingress
     annotations:
       cert-manager.io/cluster-issuer: "letsencrypt-prod"
   spec:
     tls:
     - hosts:
       - example.com
       secretName: example-com-tls
     rules:
     - host: example.com
       http:
         paths:
         - path: /
           pathType: Prefix
           backend:
             service:
               name: my-service
               port:
                 number: 80
   

3. Aktualizacja konfiguracji: Po pomyślnym odnowieniu certyfikatów, skrypty lub pipeline'y restartują lub ponownie wczytują konfiguracje usług (serwerów WWW, load balancerów), aby zaczęły używać nowego certyfikatu.

Połączenie monitorowania i automatyzacji minimalizuje ryzyko awarii usług z powodu wygasłych certyfikatów.