证书资产盘点要做什么
证书资产盘点是把组织里所有在用证书登记成一份清单：域名与 SAN、签发者、有效期、部署位置、责任人、续期方式。它是到期监控与轮换计划的基础，没有清单就只能等故障提醒。容易漏掉的部分往往比公网证书更要命：CDN 平台上托管的证书、邮件与 API 网关、数据库与内部服务的 mTLS 证书、发给外部合作伙伴的客户端证书。工程上通常把本机扫描、CT 日志查询与资产系统三方数据对齐后再补责任人。
基本信息
| 盘点字段 | 域名/SAN、issuer、notAfter、部署位置、责任人、续期方式 |
|---|---|
| 易漏项 | CDN 托管证书、邮件与 API 网关、数据库 mTLS、对外客户端证书 |
| 数据来源 | 本机文件扫描 + CT 日志查询 + 配置中心与资产系统对齐 |
| 更新机制 | 每季度或每次都纳入续期流程，否则清单会自然失效 |
| 配套动作 | 按到期时间排序，设定提前提醒窗口 |
| 输出物 | 可机读清单 + 到期看板，而不是一份静态表格 |
典型使用场景
- 年度安全自查：证明所有证书均在有效期内且有明确责任人。
- 到期集中告警：清单驱动提前 30/15/7 天的分层提醒。
- 轮换计划制定：按签发者与续期方式分组，安排批量作业窗口。
- 交接审计：人员变动时用清单确认没有无人认领的证书。
- 事故排查：证书相关故障时快速定位是谁在管、部署在哪。
扫描本机证书文件
扫描本机证书文件
find / -xdev -type f \( -name '*.crt' -o -name '*.pem' -o -name '*.cer' \) 2>/dev/null | while read f; do
e=$(openssl x509 -in "$f" -noout -enddate 2>/dev/null) && echo "$f $e"
done | sort -k3
# 按 SAN 查看是否覆盖预期域名
# openssl x509 -in cert.pem -noout -ext subjectAltName
# 也可以结合 CT 日志反查：自己不知道但被签发过的子域会出现那里盘点字段与用途
| 字段 | 取值来源 | 后续用途 |
|---|---|---|
| 域名 / SAN | 证书扩展或配置 | 确认覆盖范围与影子资产 |
| issuer 与中间证书 | 证书链 | 分组安排轮换批次 |
| notAfter | 证书有效期 | 驱动到期提醒与排期 |
| 部署位置 | 配置与运维记录 | 故障时快速定位 |
| 责任人 | 组织分工 | 告警与审批的落点 |
| 续期方式 | ACME / 手工 / 平台托管 | 决定自动化程度与风险点 |
盘点先求全再求细：第一轮目标是产出完整清单，责任人与续期方式可以第二轮补齐。追求一次做细通常会让盘点拖延到没有结果。