PKI 与 TLS 证书生命周期管理

Root CA（自签名，离线保管，有效期 20 年）
  └── Intermediate CA（在线签发，有效期 5~10 年）
        └── Leaf / End-entity（服务器或客户端证书，有效期 90 天~1 年）

# 1. 生成 2048 位（或 4096 位）RSA 私钥，或更现代的 ECDSA
openssl ecparam -genkey -name prime256v1 -out server.key

# 2. 写 CSR 配置文件，把域名放进 SAN
cat > csr.cnf <<'EOF'
[req]
distinguished_name = dn
req_extensions = ext
prompt = no

[dn]
CN = app.example.com

[ext]
subjectAltName = DNS:app.example.com,DNS:www.example.com,IP:10.0.0.5
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
EOF

# 3. 生成 CSR
openssl req -new -key server.key -out server.csr -config csr.cnf

# 4. 自签（仅测试用）或提交给 CA
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial \
  -days 90 -extfile csr.cnf -extensions ext -out server.crt

# 查看证书主体、SAN、有效期
openssl x509 -in server.crt -noout -subject -ext subjectAltName -dates

# 验证完整信任链（需要提供中间证书）
openssl verify -CAfile ca-bundle.crt -untrusted intermediate.crt server.crt

# 模拟 TLS 握手，查看服务端下发的链
openssl s_client -connect app.example.com:443 -servername app.example.com -showcerts </dev/null

# PEM 证书 → DER
openssl x509 -in server.crt -outform der -out server.der

# 证书 + 私钥 + 链 → PKCS#12
openssl pkcs12 -export -inkey server.key -in server.crt \
  -certfile chain.pem -out bundle.p12 -name "app"

# 传统 RSA 私钥 → 加密的 PKCS#8
openssl pkcs8 -topk8 -in server.key -out server.pk8 -v2 aes-256-cbc

# 从 p12 拆出证书与私钥
openssl pkcs12 -in bundle.p12 -nodes -out all.pem

# certbot 手动跑一次，验证流程
certbot certonly --webroot -w /var/www/html \
  -d app.example.com -d www.example.com \
  --email ops@example.com --agree-tos --no-eff-email

# 通配符证书必须用 dns-01
certbot certonly --manual --preferred-challenges dns -d '*.example.com'

apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-prod
spec:
  acme:
    server: https://acme-v02.api.letsencrypt.org/directory
    email: ops@example.com
    privateKeySecretRef:
      name: letsencrypt-prod-account
    solvers:
      - http01:
          ingress:
            class: nginx
---
apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: app-tls
  namespace: prod
spec:
  secretName: app-tls
  duration: 2160h        # 90 天
  renewBefore: 720h      # 到期前 30 天开始续期
  issuerRef:
    name: letsencrypt-prod
    kind: ClusterIssuer
  dnsNames:
    - app.example.com
    - www.example.com

# 原子替换：新文件就位后再 rename，避免读到半截文件
cp new.crt /etc/nginx/ssl/app.crt.tmp
mv /etc/nginx/ssl/app.crt.tmp /etc/nginx/ssl/app.crt
nginx -t && nginx -s reload

# HAProxy / Envoy 等支持热加载的组件类似

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/nginx/chain.pem;
resolver 1.1.1.1 8.8.8.8 valid=300s;
resolver_timeout 5s;

# 查询某域名在 CT 日志中登记过的所有证书（crt.sh JSON 接口）
curl -s "https://crt.sh/?q=%25.example.com&output=json" \
  | jq -r '.[] | "\(.not_before)  \(.issuer_name)  \(.name_value)"' \
  | sort -u | head -40

# 用 s_client 验证 mTLS：客户端证书必须被服务端信任
openssl s_client -connect api.internal:8443 \
  -cert client.crt -key client.key \
  -CAfile ca-bundle.crt -servername api.internal

#!/usr/bin/env bash
# 输出 "host days_left"
for host in $(cat hosts.txt); do
  end=$(echo | openssl s_client -connect "$host:443" -servername "$host" 2>/dev/null \
        | openssl x509 -noout -enddate | cut -d= -f2)
  left=$(( ( $(date -d "$end" +%s) - $(date +%s) ) / 86400 ))
  echo "$host $left"
done