mcpField
M
mtls-configuration

mtls-configuration

github.com/wshobson安全41.9k10.5k 次安装2 周前更新
代码仓库

关于 mtls-configuration

面向服务网格和零信任网络实施的双向 TLS 配置指南，适用于负责服务间通信安全的工程团队。内容涉及证书层级、轮换、故障排查和安全实践。

主要功能

  1. 01说明 mTLS 握手流程与证书层级
  2. 02指导证书轮换与到期监控
  3. 03提供 TLS 故障排查要点
  4. 04介绍从宽松模式迁移到严格模式
  5. 05列出证书验证与审计实践

适用场景

  1. 01保护服务间通信
  2. 02部署零信任网络
  3. 03诊断 TLS 握手故障
  4. 04管理证书轮换与到期
  5. 05规划多集群安全通信

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/wshobson/agents --skill mtls-configuration

安装后在 Claude Code 中输入/mtls-configuration确认已加载。

附带文件references/details.md

详细介绍

mTLS 配置

实现零信任服务网格通信的双向 TLS 综合指南。

何时使用此技能

  • 实现零信任网络
  • 保护服务间通信
  • 证书轮换与管理
  • 调试 TLS 握手问题
  • 合规要求（PCI-DSS、HIPAA）
  • 多集群安全通信

核心概念

1. mTLS 流程
┌─────────┐                              ┌─────────┐
│ Service │                              │ Service │
│    A    │                              │    B    │
└────┬────┘                              └────┬────┘
     │                                        │
┌────┴────┐      TLS Handshake          ┌────┴────┐
│  Proxy  │◄───────────────────────────►│  Proxy  │
│(Sidecar)│  1. ClientHello             │(Sidecar)│
│         │  2. ServerHello + Cert      │         │
│         │  3. Client Cert             │         │
│         │  4. Verify Both Certs       │         │
│         │  5. Encrypted Channel       │         │
└─────────┘                              └─────────┘
2. 证书层次结构
Root CA (Self-signed, long-lived)
    │
    ├── Intermediate CA (Cluster-level)
    │       │
    │       ├── Workload Cert (Service A)
    │       └── Workload Cert (Service B)
    │
    └── Intermediate CA (Multi-cluster)
            │
            └── Cross-cluster certs

模板与详细示例

完整模板库和详细示例位于 references/details.md。需要具体模板时请阅读该文件。

最佳实践

应该做的
  • 从 PERMISSIVE 开始 - 逐步迁移到 STRICT
  • 监控证书过期 - 设置告警
  • 使用短期证书 - 工作负载使用 24 小时或更短
  • 定期轮换 CA - 为 CA 轮换做好规划
  • 记录 TLS 错误 - 用于调试和审计
不应该做的
  • 不要禁用 mTLS - 为了生产环境中的便利
  • 不要忽略证书过期 - 自动化轮换
  • 不要使用自签名证书 - 使用正确的 CA 层次结构
  • 不要跳过验证 - 验证完整链

评论

支持 Markdown