DevOps'ta sertifika durumunun döngüsel izlenmesi ve…

Sertifika izleme işlemi için bir araç kombinasyonu kullanıyorum. Web sunucuları ve hizmetlerde sertifikaların durumu ve geçerlilik süresinin ana izlenmesi şu şekilde gerçekleştirilir:

Prometheus Exporter'ları:
- ssl exporter: belirtilen endpoint'lerden sertifika süreleri hakkında metrikler toplar.
- node exporter (metin dosyalarıyla birlikte): dosya sistemindeki sertifika dosyalarını izlemek için kullanılabilir.
Bash veya Python betikleri düzenli olarak sertifikaların durumunu kontrol eder (örneğin, openssl x509 -in cert.pem -noout -enddate kullanarak) ve sonucu node exporter (textfile collector) tarafından anlaşılır bir formata kaydeder.
Alertmanager:
- Prometheus'tan alınan metriklere dayanarak uyarı kuralları yapılandırıyorum (örneğin, süresi dolmadan 30, 7 ve 1 gün önce).
- Bildirimler Slack, e-posta veya diğer iletişim kanallarına gönderilir.

Otomatik sertifika yenileme genellikle certbot veya lego gibi ACME istemcileri kullanılarak gerçekleştirilir.

Görev planlama: Cron işleri veya sistem zamanlayıcıları (systemd zamanlayıcıları) ACME istemcisini çalıştırır, sertifikaları kontrol eder ve yeniler.
```
# Certbot için cron örneği
0 */12 * * * root certbot renew --quiet --standalone --pre-hook "systemctl stop nginx" --post-hook "systemctl start nginx"
```

CI/CD ile otomasyon: Kubernetes kullanan ortamlar veya daha karmaşık senaryolar için, sertifika güncelleme süreci CI/CD pipeline'ına entegre edilebilir.

Örneğin, TLS ile Ingress nesneleri içeren Kubernetes kümesinde, cert-manager sertifika yönetici, Let's Encrypt sertifikalarının çıkışını ve yenilenmesini otomatikleştirir, Controller ve CRD kullanır.

# cert-manager için anotasyonlar içeren Ingress örneği
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-ingress
  annotations:
    cert-manager.io/cluster-issuer: "letsencrypt-prod"
spec:
  tls:
  - hosts:
    - example.com
    secretName: example-com-tls
  rules:
  - host: example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: my-service
            port:
              number: 80

Yapılandırma güncellemesi: Başarılı sertifika yenilemesinden sonra, betikler veya pipeline'lar servisleri yeniden başlatır veya yapılandırmaları tekrar okur, böylece yeni sertifikayı kullanmaya başlarlar.

İzleme ve otomasyon kombinasyonu, süresi dolmuş sertifikalar nedeniyle hizmetlerin arızalanma riskini en aza indirir.

DevOps'ta sertifika durumunun döngüsel izlenmesi ve otomatik değiştirilmesi konusunda deneyiminiz nedir?