证书运维排查49 条

证书尚未生效排查

报 certificate is not yet valid（错误码 9）多为服务器或客户端时钟漂移、签发时把本地时间误当 UTC 所致；校时并核对 notBefore 的 UTC 值即可定位。

查看时间	openssl x509 -noout -startdate -enddate
系统校时	timedatectl / chronyc / w32tm
容器注意	容器时间可能继承宿主，宿主漂移会波及全部容器

时间核对命令

openssl x509 -in cert.pem -noout -startdate -dates
date -u
chronyc tracking | head -5

w32tm /query /status
w32tm /resync

虚拟机休眠、容器长时间挂起后时钟漂移较常见；跨时区签发时把本地时间写入证书模板会造成短时间内不可用。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌