ssl-certificate-management

SSL 证书管理

目录

• 概述
• 适用场景
• 快速开始
• 参考指南
• 最佳实践

概述

在整个基础设施中实现 SSL/TLS 证书管理自动化，包括证书配置、续期、监控，以及向服务安全地分发证书。

适用场景

• 启用 HTTPS/TLS
• 自动续期证书
• 管理多个域名的证书
• 处理通配符证书
• 监控证书并设置告警
• 零停机轮换证书
• 管理内部 PKI

快速开始

最小可运行示例：

# cert-manager-setup.yaml
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-prod
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    email: [email protected]
    privateKeySecretRef:
      name: letsencrypt-prod
    solvers:
      # HTTP-01 solver for standard domains
      - http01:
          ingress:
            class: nginx
        selector:
          dnsNames:
            - "myapp.com"
            - "www.myapp.com"

      # DNS-01 solver for wildcard domains
      - dns01:
          route53:
            region: us-east-1
// ... (see reference guides for full implementation)

参考指南

references/ 目录中的详细实现：

指南	内容
Let's Encrypt with Cert-Manager	使用 Cert-Manager 配置 Let's Encrypt
AWS ACM Certificate Management	AWS ACM 证书管理
Certificate Monitoring and Renewal	证书监控与续期
Automated Certificate Renewal	证书续期自动化
Certificate Pinning	证书固定

最佳实践

✅ 应该做

• 自动续期证书
• 使用 Let's Encrypt 签发公有证书
• 监控证书到期时间
• 策略性地使用通配符证书
• 实施证书固定
• 定期轮换证书
• 安全存储密钥
• 使用强密钥长度（RSA 为 2048 位以上，ECDSA 为 256 位以上）

❌ 不应该做

• 手动管理证书
• 在生产环境中使用自签名证书
• 共享私钥
• 忽略到期警告
• 使用弱密钥长度
• 混用开发环境和生产环境的证书
• 将证书提交到 git
• 禁用证书验证