企业服务证书管控：检测过期/自签名证书的工具选型咨询

针对你提到的Kubernetes环境下证书失控、需要识别自签名证书+过期告警的需求，以下是几个实用方案：

1. cert-manager + Prometheus Alertmanager #

• 作为K8s原生证书生命周期管理工具，它不仅能自动签发、续期证书，还会暴露核心监控指标：
  • 通过certmanager_certificate_spec_issuer_kind指标可识别自签名证书（值为SelfSigned即为自签）
  • 通过certmanager_certificate_expiration_timestamp_seconds可计算证书剩余有效期
• 配置Alertmanager告警规则即可触发两类告警：比如剩余有效期不足30天的预警，以及自签名证书存在的告警
• 完全兼容K8s生态，无需额外复杂依赖，适合现有K8s环境快速落地

2. cert-exporter #

• 轻量型证书指标导出工具，专门针对K8s集群内的证书（包括Secret存储的证书、Ingress关联证书）
• 核心指标支持需求：
  • cert_exporter_certificate_is_self_signed（值为1表示自签名证书）
  • cert_exporter_certificate_expiry_seconds（证书剩余有效期）
• 仅负责指标导出，配合现有Prometheus和Alertmanager即可完成告警配置，适合不需要证书生命周期管理、仅需监控的场景

3. HashiCorp Vault + Vault Agent #

• 若计划从根源规范证书管理，Vault的PKI引擎可实现证书的统一签发、存储、续期全生命周期管理
• 可通过Vault监控指标识别两类情况：即将过期的证书（vault_pki_certificates_expiring_soon）、未由Vault签发的自签名证书（可通过配置规则标记）
• 适合需要彻底解决证书失控问题，同时兼顾监控告警的场景

4. 自定义脚本 + Prometheus Node Exporter #

• 若不想引入新工具，可编写Shell/Python脚本实现：
  • 遍历K8s集群内的证书Secret（或服务本地证书文件）
  • 用openssl x509 -in <证书文件> -text -noout命令对比Issuer和Subject是否一致，判断是否为自签名
  • 计算证书剩余有效期
• 将检查结果以自定义指标格式写入Node Exporter的textfile_collector目录，通过Prometheus配置告警规则
• 灵活性高，适合有自定义监控需求的场景

内容的提问来源于stack exchange，提问作者YaKs