Ресурсы · 118
Продление TLS: проверить реально выдаваемый сертификат
Проследить продление до точек завершения TLS и клиентов перед закрытием изменения.
Обновлено · 2 min
Чего помогает достичь это руководство
- Инвентаризировать точки TLS
- Подготовить выпуск, доставку и перезагрузку
- Проверить клиентами и наблюдать
Быстрая проверка
- Карта точек и наблюдаемых сроков.
- Проверенная процедура продления и доставки.
- Клиентские доказательства, сигналы и критерии завершения.
Пошаговый метод
- 1
Инвентаризировать точки TLS
Перечислите имена, CDN, балансировщики, прокси и внутренние соединения с сертификатами. Запишите выдаваемый сертификат, цепочку, срок и ответственного. Выпуск не доказывает установку на всех узлах. Защитите закрытые ключи, не включайте их в реестр.
Карта точек и наблюдаемых сроков.
- 2
Подготовить выпуск, доставку и перезагрузку
Проверьте автоматизацию в тестовой среде поставщика, если она есть. Проверьте задания валидации, имена SAN, защищённое хранение и перезагрузку компонентов. Не выпускайте при каждом запуске, если есть пригодный сертификат по политике ключей.
Проверенная процедура продления и доставки.
- 3
Проверить клиентами и наблюдать
Проверьте имена, даты и цепочку доверия поддерживаемыми клиентами по нужным путям. Не отключайте проверку TLS. Следите за сроком выдаваемого сертификата, не только планировщиком. Откат требует действующего сертификата и не скомпрометированного ключа; иначе исправьте или изолируйте точку.
Клиентские доказательства, сигналы и критерии завершения.
Воспроизводимый приёмочный случай
Вымышленный пример: данные не описывают клиента или наблюдаемый результат.
Посмотреть данные случая
{
"issuance_succeeded": true,
"proxy_count": 2,
"proxies_serving_expected_certificate": 1,
"other_proxy_certificate_expired": true,
"tls_verification_enabled": true,
"expected": "change_incomplete_fix_and_verify_client_paths"
}Ожидаемое решение
Вымышленный пример: продление успешно, но один из двух прокси выдаёт просроченный сертификат. Изменение не завершено; исправьте прокси и проверьте клиентские пути, не отключая TLS.
Ваш журнал приёмки
Запишите наблюдения по критериям руководства. Журнал не является сертификацией.
Автоматического сохранения нет. Экспортируйте до выхода.
Фильтры не ограничивают экспорт. Действия включают проблемы и непроверенные критерии.
Импорт заменит наблюдения после вашего подтверждения.
Показатели управления
| Показатель | Что он измеряет | Первое действие |
|---|---|---|
| Проверенные обновлённые точки | Точки с ожидаемым сертификатом / учтённые точки | Отмечать ненаблюдаемые точки |
| Минимальный наблюдаемый срок | Самый короткий остаток действия проверенных выдаваемых сертификатов | Указать время и охват |
Распространенные ошибки
Часто задаваемые вопросы
Достаточно ли успешного продления ACME?
Нет. Проверьте доставку, перезагрузку и сертификат для клиентов. Один узел может выдавать старый.
Официальные ссылки
Ссылки подтверждают метод. Адаптируйте проверки к вашему контексту; они не являются сертификацией. Оригинальные названия ссылок и исходные документы могут быть на другом языке.
Источники проверены .
