Когда обновление сертификата отслеживается вручную, сбой — лишь вопрос времени.
В современных приложениях TLS-сертификат — это не просто компонент безопасности, это прямая часть доступности. Истёкший сертификат означает ошибку доверия на стороне пользователя, отклонение соединения в API-клиентах и в некоторых сценариях полный сбой сервиса. Как правило, сбой проявляется тогда, когда само приложение работает идеально.
Кратковременные сертификаты повышают безопасность, но также увеличивают операционную нагрузку. В 90-дневном цикле сертификата ручного календаря, email-оповещения или внешнего скрипта недостаточно. Даже если сертификат был обновлён, но не применён к ADC, работающий сервис продолжает обслуживать старый.
Корпоративным средам также требуется более одного CA. Когда на одном CA возникает ограничение скорости, проблема с аккаунтом или ошибка валидации, требуется быстрое переключение на альтернативного провайдера. Архитектура, привязанная к единственному CA, делает операции с сертификатами излишне ненадёжными.
В HA-архитектурах проблема более критична. Если два устройства пытаются выпустить сертификаты для одного домена, используя отдельные ACME-аккаунты, возникают риски ограничения скорости и несогласованности. Аккаунты сертификатов, thumbprint и состояние обновления должны синхронизироваться между HA-узлами.
TR7 ADC встраивает выпуск и обновление ACME-сертификатов — включая регистрацию аккаунта, контроль порога, обнаружение diff, автоматическую проверку и совместное использование HA — во встроенный поток управления сертификатами устройства.
Наш подход
TR7 рассматривает обновление ACME-сертификатов не как разовый скрипт, а как контролируемую, воспроизводимую часть жизненного цикла сертификата.
Настройки ACME привязаны к type-safe профилю сертификата
Email-адрес, выбор CA, список доменов, тип ключа и учётные данные EAB хранятся в одной структуре. Отсутствующие или недействительные поля обнаруживаются во время регистрации. Поток обновления поэтому опирается на валидированный объект сертификата, а не на ситуативные параметры команды.
Автоматические проверки сканируют окно обновления дважды в день
TR7 проверяет сертификаты дважды в день — утром и вечером. Когда оставшиеся дни опускаются ниже порога обновления per-сертификат, запускается поток обновления. Оператору не нужно поддерживать календарь или писать внешний cron-job.
При изменении fingerprint конфигурации issue и renew разделяются
Когда CA, список доменов или тип ключа меняются, TR7 рассматривает это как новый выпуск сертификата. Если та же конфигурация сохраняется, выполняется только поток обновления. Это различие предотвращает некорректное поведение renew при добавлении домена или смене типа ключа.
Учётные данные аккаунта разделяются между HA-узлами
ACME account thumbprint разделяется с HA-партнёром. Оба устройства ведут себя последовательно, используя один и тот же CA-аккаунт. Риск ограничения скорости снижается, и управление сертификатами остаётся в рамках одной цепочки аккаунта при активно-пассивном failover.
Возможности
ACME Cert Renewal объединяет выбор CA, регистрацию аккаунта, автоматическое обновление, совместное использование HA и видимость аудита в единый поток управления сертификатами.
Пять удостоверяющих центров управляются из одной панели
TR7 ADC поддерживает четыре опции CA: Let's Encrypt, ZeroSSL, SSL.com и Google Trust Services. Оператор выбирает провайдера через профиль сертификата при создании. Это снижает зависимость от единственного провайдера. Другой CA может быть предпочтителен для корпоративных аккаунтов, тестирования или сервисов, требующих другой цепочки доверия.
HTTP-01 валидация быстро выпускает однодоменные сертификаты
HTTP-01 challenge валидирует домен через web-трафик. Когда порт 80 доступен, сертификат может быть выпущен без дополнительной интеграции DNS. Это обеспечивает быстрое подключение особенно для однодоменных и стандартных сценариев vService. Wildcard-сертификаты идут по пути DNS-01.
Проверка DNS-01 — один wildcard, который обновляет себя сам
Выберите DNS-01 вместо HTTP-01, укажите своего DNS-провайдера и один раз задайте учётные данные API: дальше устройство подтверждает владение DNS-записью, которую публикует само, — а это единственный путь к wildcard-сертификату. Один `*.company.com` покрывает все хосты, которых вы ещё даже не создали, и та же задача обновления, выполняемая дважды в сутки, держит его актуальным: без открытия 80-го порта, без подключения каждого хоста, без напоминания в чьём-то календаре.
EAB учётные данные автоматически привязывают корпоративные CA-аккаунты
Для CA-аккаунтов, требующих EAB, key ID и HMAC учётные данные хранятся в профиле сертификата. Оператор вводит их через интерфейс; TR7 автоматически генерирует команды аутентификации. Это снижает ошибки ручных команд в конфигурациях с корпоративными CA-аккаунтами. Процесс подключения упрощается особенно для ACME-провайдеров на основе аккаунтов.
Мультидоменные SAN-сертификаты хранятся в одном объекте
Сертификат может включать несколько доменов. Список доменов хранится как массив в объекте сертификата, и каждый домен обрабатывается с собственным параметром в потоке валидации. При добавлении домена TR7 обнаруживает это как изменение конфигурации. Поток повторного выпуска затем запускается с новым набором доменов вместо некорректного обновления существующего сертификата.
Per-certificate порог обновления обеспечивает контроль раннего обновления
Per-сертификат может быть установлен порог обновления в днях. Для критических сервисов может применяться более ранняя политика обновления — например 60 дней; для стандартных сервисов можно выбрать более короткое окно. TR7 сравнивает оставшиеся дни с этим порогом. При пересечении порога начинается автоматическое обновление.
Две автоматические ежедневные проверки ведут отслеживание сертификатов в фоне
TR7 запускает проверку обновления сертификатов дважды в день: в 07:00 и 22:00. Этот поток обрабатывает только сертификаты, чьё окно обновления наступило. Оператору не нужно поддерживать внешний cron-job, shell-скрипт или ручной чеклист. Обновление сертификатов становится частью регулярного цикла обслуживания устройства.
ACME-аккаунт регистрируется автоматически при первом использовании
Когда профиль сертификата используется впервые и соответствующий CA-аккаунт ещё не существует, TR7 автоматически инициирует регистрацию аккаунта. Thumbprint аккаунта извлекается и хранится постоянно. Тот же аккаунт затем повторно используется для последующих операций с сертификатами. Оператору не нужно управлять отдельным процессом регистрации аккаунта.
Issue и renew разделяются по hash конфигурации
TR7 производит fingerprint конфигурации из выбора CA, типа ключа и списка доменов. Если этот fingerprint совпадает с предыдущим значением, выполняется поток обновления; если отличается, выпускается новый сертификат. Это поведение выбирает правильное действие при изменении списка доменов или типа ключа. Управление сертификатами опирается на обнаружение изменений, а не на предположения.
Совместное использование thumbprint в HA-кластере снижает риск ограничения скорости
В HA-среде оба узла разделяют одни и те же учётные данные CA-аккаунта. Это предотвращает многократное выполнение операций активными и пассивными устройствами для одного домена с использованием независимых аккаунтов. Риск ограничения скорости и конфликтов аккаунтов снижается. После failover управление сертификатами продолжается в рамках той же цепочки аккаунта.
Современный тип ключа используется по умолчанию; альтернативы доступны для выбора
Дефолтный тип ключа — ec-256. Оператор может выбрать ec-384 или RSA-based длины ключей по необходимости. Это сохраняет быстрые handshake для современных клиентов, сохраняя опцию RSA для клиентов, требующих legacy-совместимости. Смена типа ключа рассматривается как новый поток выпуска.
Вывод процесса транслируется вживую и причина ошибки видна
При выпуске или обновлении сертификата вывод процесса транслируется строка за строкой в интерфейс. Ошибки валидации, ограничения скорости, проблемы доступности домена или EAB-проблемы видны оператору. Это выводит обновление сертификата из категории «чёрный ящик». Время диагностики сокращается.
Пользовательский лог и цепочка аудита делают операции с сертификатами отслеживаемыми
События регистрации аккаунта, выпуска, обновления, успеха и ошибки записываются в пользовательский лог и поток аудита. Можно видеть, какая операция выполнялась для какого сертификата и когда. С интеграцией SIEM события обновления сертификатов пересылаются в центральную систему мониторинга. Жизненный цикл сертификата становится доказуемым для команд соответствия.
Операционная глубина
Поток обновления ACME делает больше, чем просто получает сертификат — он работает совместно с хранением аккаунта, изоляцией процессов, обработкой таймаутов, совместным использованием HA и управлением ошибками.
Изоляция директории аккаунта
Каждая комбинация CA и email хранится в собственной директории аккаунта. Это предотвращает смешивание учётных данных разных провайдеров. Несколькими CA-аккаунтами можно безопасно управлять на одном устройстве.
Контроль таймаута процесса
К операциям выпуска и обновления сертификатов применяется верхний лимит времени. Процессы, работающие долго или зависшие, не остаются открытыми бесконечно. Таймаут, остановка по инициативе пользователя и закрытие процесса рассматриваются как отдельные состояния.
Осведомлённость о сетевом пространстве имён
В мультитенантных конфигурациях и конфигурациях с отдельными таблицами маршрутов операции ACME могут выполняться через правильное сетевое пространство имён. Трафик challenge поэтому уходит через соответствующий путь egress тенанта или зоны. Это снижает ошибки валидации сертификатов в мультисетевых архитектурах.
Извлечение и импорт файлов
По завершении выпуска сертификата местонахождения файлов сертификата, полной цепочки и закрытого ключа захватываются из вывода процесса. TR7 читает эти файлы и импортирует их в собственное хранилище сертификатов. Обновлённый сертификат таким образом становится доступным для ADC.
Постоянство thumbprint
ACME account thumbprint хранится в постоянном хранилище. Даже при перезапуске устройства цепочка аккаунта не теряется. Совместное использование HA также продолжается на основе этой постоянной информации.
Уведомление и SIEM
При сбое обновления сертификата событие ошибки логируется и может пересылаться в центральный поток мониторинга. Сертификат, приближающийся к истечению срока, дополнительно может быть связан с системой уведомлений. Это позволяет операционной команде получать оповещения до истечения срока сертификата.
Когда применять
Автоматическое обновление для e-commerce доменов
Однодоменные сертификаты для публичного web и платёжных vService выпускаются через HTTP-01. TR7 проверяет порог обновления дважды в день и обновляет сертификат по мере приближения срока истечения.
Сертификаты субдоменов клиентов мультитенантного SaaS
Каждый тенант приносит собственный субдомен. TR7 хранит список доменов в объекте сертификата и привязывает его к соответствующему vService через SNI. Сертификаты обновляются в фоне.
Корпоративный CA-аккаунт, требующий EAB
Корпоративный CA-провайдер требует учётные данные EAB. Оператор определяет key ID и HMAC в профиле сертификата; TR7 автоматически выполняет регистрацию аккаунта и выпуск сертификата.
Единый ACME-аккаунт в HA-кластере
В активно-пассивной паре TR7 оба устройства разделяют один и тот же CA account thumbprint. Операции с сертификатами остаются согласованными, и риск излишней повторной валидации снижается.
Доказательство обновления для соответствия
События выпуска и обновления сертификатов попадают в лог аудита. При проверке можно показать, какой сертификат был обновлён, когда и какое пользовательское или системное событие инициировало операцию.
Сертификат тенанта в отдельном сетевом пространстве имён
Если трафик валидации тенанта должен уходить через собственное сетевое пространство имён, операция ACME выполняется в этом контексте. Разделение маршрутов мультитенанта сохраняется при завершении обновления сертификата.
Часто задаваемые вопросы
Какие ACME удостоверяющие центры поддерживает TR7?
Когда запускается автоматическое обновление?
Что происходит при изменении списка доменов или типа ключа?
Как два HA-устройства разделяют один и тот же CA-аккаунт?
Требует ли HTTP-01 валидация дополнительной инфраструктуры?
Могут ли операции обновления сертификатов быть аудированы?
Сделайте обновление сертификатов частью ADC
Четыре CA, EAB, совместное использование HA thumbprint и автоматические проверки дважды в день — в едином потоке управления сертификатами. Давайте разберём живую настройку в вашей собственной среде.