证书生命周期管理器（Certificate Lifecycle Manager）

不再因证书过期而在凌晨 3 点被紧急呼入。自动发现基础设施中所有证书，跟踪其到期时间，规划续订任务，通过 ACME / Let's Encrypt 实现自动化续订，并验证部署结果——确保在任何人察觉之前，证书已平滑轮转完成。

适用场景：当遇到“证书即将过期”、“查找全部证书”、“SSL 续订”、“证书管理”、“证书资产盘点”、“Let's Encrypt 自动化”、“证书轮转”，或因证书过期导致服务中断等情况时使用。

命令

1. discover — 发现全部证书

步骤 1：扫描网络端点

# 扫描已知主机上的证书
for host in $HOSTS; do
  for port in 443 8443 9443; do
    cert_info=$(echo | openssl s_client -connect "$host:$port" -servername "$host" 2>/dev/null | 
      openssl x509 -noout -subject -enddate -issuer 2>/dev/null)
    if [ -n "$cert_info" ]; then
      echo "=== $host:$port ==="
      echo "$cert_info"
      # 距离过期剩余天数
      expiry=$(echo | openssl s_client -connect "$host:$port" -servername "$host" 2>/dev/null | 
        openssl x509 -noout -enddate 2>/dev/null | cut -d= -f2)
      days=$(( ($(date -d "$expiry" +%s) - $(date +%s)) / 86400 ))
      echo "Days until expiry: $days"
      echo
    fi
  done
done

步骤 2：扫描 Kubernetes Secrets

kubectl get secrets -A -o json | python3 -c "
import json, sys, base64, subprocess
secrets = json.load(sys.stdin)['items']
for s in secrets:
    if s['type'] == 'kubernetes.io/tls':
        ns = s['metadata']['namespace']
        name = s['metadata']['name']
        cert_b64 = s['data'].get('tls.crt', '')
        if cert_b64:
            cert_pem = base64.b64decode(cert_b64).decode()
            result = subprocess.run(
                ['openssl', 'x509', '-noout', '-subject', '-enddate'],
                input=cert_pem, capture_output=True, text=True
            )
            print(f'{ns}/{name}: {result.stdout.strip()}')
"

步骤 3：扫描本地证书文件

# 查找证书文件
find / -maxdepth 5 ( -name "*.pem" -o -name "*.crt" -o -name "*.cert" -o -name "*.cer" ) 
  -not -path "*/proc/*" -not -path "*/sys/*" 2>/dev/null | while read cert; do
  info=$(openssl x509 -in "$cert" -noout -subject -enddate 2>/dev/null)
  if [ -n "$info" ]; then
    echo "=== $cert ==="
    echo "$info"
  fi
done

步骤 4：生成证书资产清单

# 证书资产清单

## 概览
- 已发现证书总数：23
- 30 天内即将过期：2 🔴
- 90 天内即将过期：5 🟡
- 健康（剩余有效期 >90 天）：16 🟢

## 高危（需立即续订）
| 主机 | CN/SAN | 颁发者 | 过期时间 | 剩余天数 |
|------|--------|--------|----------|----------|
| api.example.com:443 | *.example.com | Let's Encrypt R3 | 2026-05-10 | 11 🔴 |
| internal.corp:8443 | internal.corp | Corp CA | 2026-05-15 | 16 🔴 |

## 警告（建议 30 天内续订）
| 主机 | CN/SAN | 颁发者 | 过期时间 | 剩余天数 |
|------|--------|--------|----------|----------|
| staging.example.com | *.staging.example.com | Let's Encrypt | 2026-06-15 | 47 🟡 |

## 已启用自动续订（受管）
| 主机 | 提供方 | 自动续订 | 上次续订时间 |
|------|--------|-----------|----------------|
| www.example.com | CloudFlare | ✅ | 2026-04-01 |
| app.example.com | AWS ACM | ✅ | 2026-03-15 |

## 需手动续订
| 主机 | 原因 |
|------|------|
| internal.corp | 使用内部 CA，不支持 ACME 协议 |
| vpn.example.com | 客户端证书，需手动执行 CSR 流程 |

2. renew — 自动化证书续订

Let's Encrypt / ACME：

# Certbot 续订
certbot renew --dry-run 2>&1
certbot renew 2>&1

# 检查续订钩子脚本
cat /etc/letsencrypt/renewal-hooks/deploy/*.sh 2>/dev/null

手动续订操作手册：

1. 生成新 CSR：openssl req -new -key server.key -out server.csr
2. 向 CA 提交 CSR
3. 下载新证书
4. 验证证书链：openssl verify -CAfile ca-bundle.crt server.crt
5. 部署：更新服务器配置并重启服务
6. 验证：openssl s_client -connect host:443

3. monitor — 配置过期告警

# Prometheus blackbox exporter 配置
# 在证书过期前 30、14、7、1 天分别触发告警
cat <<'YAML'
groups:
  - name: certificate-expiry
    rules:
      - alert: CertExpiringIn30Days
        expr: probe_ssl_earliest_cert_expiry - time() < 86400 * 30
        labels: { severity: warning }
      - alert: CertExpiringIn7Days
        expr: probe_ssl_earliest_cert_expiry - time() < 86400 * 7
        labels: { severity: critical }
      - alert: CertExpired
        expr: probe_ssl_earliest_cert_expiry - time() < 0
        labels: { severity: page }
YAML

4. verify — 续订后验证

部署新证书后执行以下验证：

# 验证证书是否正确部署
echo | openssl s_client -connect "$HOST:443" -servername "$HOST" 2>/dev/null | 
  openssl x509 -noout -subject -issuer -dates -fingerprint

# 检查证书链完整性
echo | openssl s_client -connect "$HOST:443" -servername "$HOST" -showcerts 2>/dev/null | 
  grep -c "BEGIN CERTIFICATE"
# 输出应为 2–3（叶子证书 + 一个或多个中间证书）

# 验证是否存在混合内容或证书固定（HPKP）问题
curl -sI "https://$HOST" | grep -i "strict-transport|public-key-pins"