Сертификаты для 300 доменов
Вопрос
Интервьюер: «У компании 300 доменов, сертификаты продлевают руками по напоминанию, раз в квартал что-то истекает. Как наведёте порядок?»
Попробуйте сами
Ответьте вслух за 2 минуты, как на собесе. Потом сверьтесь с тезисами: что прозвучало, а что нет.
Показать ответ и разбор
Коротко
Что должно прозвучать в ответе
Инвентаризация: все домены, где терминируется TLS, кто владелец
Автоматический выпуск и продление по ACME: cert-manager, certbot или acme.sh, dns-01 через API DNS
Хранение и раздача: секреты в Kubernetes или Vault PKI, без ручного копирования
Мониторинг сроков снаружи: blackbox_exporter, алерт за 2-3 недели
Учесть сокращение сроков жизни сертификатов: только автоматизация
CAA-записи и контроль, кто может выпускать
Что могут спросить следом
- Как быть с доменами, которые терминируются на чужом оборудовании?
- Что делать с внутренними сервисами без доступа из интернета?
Разбор
Образцовый ответ: «Сначала инвентаризация: выгружаю все имена из DNS и балансировщиков, сканирую 443 и смотрю, где какой сертификат и у кого. Дальше всё публичное перевожу на ACME. В Kubernetes cert-manager с ClusterIssuer на Let's Encrypt и проверкой dns-01 через API нашего DNS-провайдера, это заодно даёт wildcard и работает для внутренних имён. Вне кластера certbot или acme.sh с хуком перезагрузки nginx. Для внутренних mTLS-сертификатов Vault PKI с короткими сроками. Мониторинг независимый от продления: blackbox_exporter проверяет все эндпоинты, алерт за 21 день до истечения и при ошибке цепочки. CAA-записи ограничивают выпуск нашими CA. Сроки жизни сертификатов в индустрии сокращаются, так что ручное продление скоро станет просто невозможным».
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.