证书生命周期管理是什么
证书过期会直接造成访问故障与业务中断，而证书数量随域名、内部系统与 API 网关不断增长，人工台账很快失效。管理要点是建立证书清单（域名、签发机构、到期日、私钥位置、续期方式），设置分级预警，能用 ACME 自动化的优先自动化，同时对续期失败本身做告警。
基本信息
| 清单字段 | 域名/用途、签发机构、到期日、私钥位置、续期方式、责任人 |
|---|---|
| 自动化 | ACME 客户端（如 certbot）自动续期 + 续期后自动重载服务 |
| 预警分级 | 60 天提示、30 天催办、14 天升级 |
| 私钥管理 | 权限收紧；通配符证书私钥泄露影响面大，单独管控 |
清单与预警示例
清单与预警示例
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
| openssl x509 -noout -subject -enddate
# 批量巡检脚本：对域名列表循环执行，输出剩余天数并排序
certbot renew --dry-run # 演练自动续期流程是否仍然可用
# 续期成功后重载服务：systemctl reload nginx典型使用场景
- 年度证书盘点：核对全部对外与内部证书的到期时间
- 自动化改造：把可自动化的证书接入 ACME，减少人工续期
- 重大活动前检查：活动期间到期的证书提前更换
- 故障排查：访问报证书错误时快速定位是过期、链不全还是名称不匹配
- 合规与审计：证书与私钥管理是常见核查项
常见问题与处置
| 问题 | 表现 | 处置 |
|---|---|---|
| 证书过期 | 浏览器报错、接口调用失败 | 紧急续期并复盘监控缺失 |
| 链不完整 | 部分客户端报错 | 补全中间证书 |
| 名称不匹配 | 访问域名与证书不符 | 重新签发或调整域名 |
| 续期任务失败 | 无告警直到过期 | 为续期任务本身配置监控 |
自动续期不是『设了就不用管』：ACME 验证方式、DNS 权限或端口占用变化都可能导致续期失败，续期失败告警与备用人工流程要一起配置。
通配符证书的私钥泄露影响面很大：一旦泄露，所有匹配的子域都可被冒用，因此私钥必须单独管控、限制读取权限并记录使用位置。