4. 证书有效期管理：证书过期风险、自动续期策略、使用 cert-manager 进行证书生命周期管理

在 Exporter 与 Prometheus 之间启用 TLS 通信后，证书的有效期管理成为运维的核心挑战。证书过期会导致抓取中断、告警丢失，甚至引发生产事故。本章深入分析证书过期的风险模型，对比自动续期策略，并重点讲解使用 cert-manager 实现证书生命周期全自动管理的最佳实践。

4.1 证书过期风险与影响分析

证书过期并非“瞬间失效”，而是经历一个从警告到中断的渐进过程。下表总结了不同阶段的风险特征：

4.2 自动续期策略对比

手动续期证书在规模化场景下不可行。以下是三种主流自动续期策略的对比：

4.3 使用 cert-manager 进行证书生命周期管理

cert-manager 是 Kubernetes 生态中最成熟的证书管理工具，它将证书视为 Kubernetes 资源，通过 CRD（Custom Resource Definition）实现声明式生命周期管理。核心组件包括：

• Issuer / ClusterIssuer：定义证书颁发者，可以是自签名 CA、Let's Encrypt、Vault 或外部 CA。
• Certificate：声明证书的域名、有效期、密钥算法等属性，cert-manager 自动生成私钥并请求签发。
• Secret：证书和私钥以 Kubernetes Secret 形式存储，Exporter Pod 通过 volume 挂载使用。

4.3.1 架构与工作流程

下图展示了 cert-manager 管理 Exporter 证书的完整生命周期：

4.3.2 关键配置示例

以下是一个完整的 cert-manager Certificate 资源定义，用于为 Exporter 签发有效期 365 天的自签名证书：

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: node-exporter-tls
  namespace: monitoring
spec:
  # 证书有效期，支持 Go 时间格式
  duration: 8760h  # 365 天
  
  # 续期提前量，到期前 30 天开始自动续期
  renewBefore: 720h  # 30 天
  
  # 私钥算法与长度
  privateKey:
    algorithm: RSA
    size: 2048
    encoding: PKCS1
  
  # 证书主题信息
  subject:
    organizations:
      - MyCompany
    organizationalUnits:
      - SRE
    commonName: node-exporter.monitoring.svc.cluster.local
  
  # DNS 名称（SAN）
  dnsNames:
    - node-exporter
    - node-exporter.monitoring
    - node-exporter.monitoring.svc
    - node-exporter.monitoring.svc.cluster.local
  
  # IP 地址（可选）
  ipAddresses:
    - 10.96.0.1
  
  # 指定使用的 Issuer（同命名空间）
  issuerRef:
    name: internal-ca-issuer
    kind: Issuer
    # 如果是 ClusterIssuer，则 kind: ClusterIssuer

4.3.3 监控证书续期状态

cert-manager 会更新 Certificate 资源的状态字段，运维人员可以通过以下方式监控续期健康度：

• kubectl describe certificate：查看 Conditions 字段，确认 Ready 状态是否为 True。
• Prometheus 指标：cert-manager 暴露 certmanager_certificate_expiry_seconds 指标，可配置告警规则。
• Events 事件：续期成功或失败时，cert-manager 会生成 Kubernetes Events，可通过 kubectl get events -n monitoring 查看。

以下是一个 Prometheus 告警规则示例，用于检测证书即将过期：

groups:
- name: cert-manager-alerts
  rules:
  - alert: CertificateExpiringSoon
    expr: |
      certmanager_certificate_expiry_seconds{namespace="monitoring"} < 604800
    for: 10m
    labels:
      severity: warning
    annotations:
      summary: "证书 {{ $labels.name }} 将在 7 天内过期"
      description: "证书 {{ $labels.name }} 在命名空间 {{ $labels.namespace }} 中剩余有效期不足 7 天，请检查续期状态。"

4.4 证书生命周期管理总结

证书有效期管理是 Exporter TLS 安全加固中不可忽视的持续性工作。通过 cert-manager 实现声明式证书生命周期管理，可以显著降低人为失误风险，实现证书签发、续期、更新的全自动化。下表总结了关键配置参数：