| 用途 | 服务间通道、企业与平台系统对接 |
|---|---|
| 流程 | 双方校验证书链与主机名/URI 标识；证书绑定身份 |
| 运维 | 自动签发与轮换，到期监控与吊销预案 |
证书运维清单
| 环节 | 做法 |
|---|---|
| 签发 | 内部 CA 自动签发，证书绑定服务身份 |
| 轮换 | 到期前自动换发，双证书过渡 |
| 监控 | 到期告警与握手失败率监控 |
| 吊销 | 离职与下线流程中同步吊销 |
mTLS 解决通道身份，不解决应用级授权；两者配合使用，授权仍由业务层校验。
双向 TLS（mTLS）
客户端与服务端互相验证证书，适用于服务间或企业与平台之间的强身份通道；证书生命周期管理（签发、轮换、吊销）是落地的主要工作量。
易错点
- 证书有效期无人监控，到期引发大面积调用失败
- 吊销机制缺失，离职设备证书仍可接入
数据来源与参考
- RFC 8446：TLS 1.3
- Istio 文档：Mutual TLS