Qual é a sua experiência na configuração de monitoramento cíclico do estado do certificado e sua substituição automática no DevOps?

Para a monitorização de certificados, utilizo uma combinação de ferramentas. A monitorização principal do estado e validade dos certificados em servidores web e serviços é realizada através de:

1. Exportadores Prometheus:

   • ssl exporter: recolhe métricas sobre a validade dos certificados a partir dos endpoints indicados.
   • node exporter (em conjunto com ficheiros de texto): pode ser usado para monitorizar ficheiros de certificados no sistema de ficheiros.

   Scripts em Bash ou Python verificam regularmente o estado dos certificados (por exemplo, usando openssl x509 -in cert.pem -noout -enddate) e registam o resultado num formato compreensível pelo node exporter (textfile collector).

2. Alertmanager:

   • Configuro regras no Alertmanager para ativar alertas (por exemplo, 30, 7 e 1 dia antes da expiração) com base em métricas do Prometheus.
   • As notificações são enviadas para Slack, email ou outros canais de comunicação.

A substituição automática de certificados é geralmente realizada usando clientes ACME, como certbot ou lego.

1. Agendamento de tarefas: Cron jobs ou temporizadores do sistema (timers do systemd) executam o cliente ACME para verificar e renovar certificados.

   # Exemplo de entrada no cron para certbot
   0 */12 * * * root certbot renew --quiet --standalone --pre-hook "systemctl stop nginx" --post-hook "systemctl start nginx"
   

2. Automatização via CI/CD: Para cenários mais complexos ou ambientes com Kubernetes, o processo de atualização de certificados pode ser integrado no pipeline de CI/CD.

   • Por exemplo, num cluster Kubernetes com objetos Ingress com TLS, o gestor de certificados tipo cert-manager automatiza a emissão e renovação de certificados Let's Encrypt, usando Controller e CRD (Custom Resource Definitions).

   # Exemplo de Ingress com anotações para cert-manager
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: my-ingress
     annotations:
       cert-manager.io/cluster-issuer: "letsencrypt-prod"
   spec:
     tls:
     - hosts:
       - example.com
       secretName: example-com-tls
     rules:
     - host: example.com
       http:
         paths:
         - path: /
           pathType: Prefix
           backend:
             service:
               name: my-service
               port:
                 number: 80
   

3. Atualização de configurações: Após a atualização bem-sucedida de certificados, os scripts ou pipelines reiniciam ou recarregam as configurações dos serviços (servidores web, balanceadores de carga) para que comecem a usar o novo certificado.

A combinação de monitorização e automação minimiza o risco de falhas nos serviços devido a certificados expirados.