joeelliott/cert-exporter

cert-exporter

![Go Report Card]([***] !version

概述

Kubernetes使用PKI证书进行所有主要组件间的身份验证。这些证书对集群运行至关重要，但管理员通常难以掌握其状态。本应用旨在解析证书并导出过期信息，供Prometheus抓取。

警告：在集群中运行此应用可能需要提升权限，且会接触高度敏感信息，请务必审查源代码！

使用方法

cert-exporter可发布以下来源的证书指标：

• 磁盘上PEM格式的x509证书
• kubeconfig文件中嵌入或引用的证书
• Kubernetes secrets中的证书（支持cert-manager等应用）

部署信息

详见部署文档了解运行详情及在kops集群中的部署示例。

自定义secrets监控

详见自定义secrets示例了解如何监控非cert-manager管理的自定义secrets证书。

AWS secrets支持

如需从AWS secrets抓取证书，执行：

go run main.go --aws-account=<账号ID> --aws-region=<区域> --aws-secret=<密钥名称1> [--aws-secret=<密钥名称2>]

需配置AWS凭证，详见[***]

仪表盘

运行后可构建自定义仪表盘展示证书信息，示例截图： !cert-exporter仪表盘

导出指标

cert-exporter导出以下指标：

# HELP cert_exporter_error_total Cert Exporter错误总数
# TYPE cert_exporter_error_total counter
cert_exporter_error_total 0
# HELP cert_exporter_cert_expires_in_seconds 证书过期前秒数
# TYPE cert_exporter_cert_expires_in_seconds gauge
cert_exporter_cert_expires_in_seconds{filename="certsSibling/client.crt",issuer="root",nodename="master0"} 8.639964560021e+06
# HELP cert_exporter_kubeconfig_expires_in_seconds kubeconfig证书过期前秒数
# TYPE cert_exporter_kubeconfig_expires_in_seconds gauge
cert_exporter_kubeconfig_expires_in_seconds{filename="kubeConfigSibling/kubeconfig",name="cluster1",nodename="master0",type="cluster"} 8.639964559682e+06
cert_exporter_kubeconfig_expires_in_seconds{filename="kubeConfigSibling/kubeconfig",name="user1",nodename="master0",type="user"} 8.639964559249e+06
# HELP cert_exporter_secret_expires_in_seconds Kubernetes secret证书过期前秒数
# TYPE cert_exporter_secret_expires_in_seconds gauge
cert_exporter_secret_expires_in_seconds{cn="example.com",issuer="example.com",key_name="ca.crt",secret_name="selfsigned-cert-tls",secret_namespace="cert-manager-test"} 8.6396867095666e+06
cert_exporter_secret_expires_in_seconds{cn="example.com",issuer="example.com",key_name="tls.crt",secret_name="selfsigned-cert-tls",secret_namespace="cert-manager-test"} 8.639686709417423e+06

指标说明

• cert_exporter_error_total：累计错误数，用于监控应用运行状态
• cert_exporter_cert_expires_in_seconds：PEM证书过期秒数，标签含文件名、签发者、节点名等
• cert_exporter_kubeconfig_expires_in_seconds：kubeconfig证书过期秒数，标签含文件名、类型、名称等
• cert_exporter_secret_expires_in_seconds：Kubernetes secret证书过期秒数，标签含密钥名、命名空间等

其他文档

• 测试：测试脚本概述及运行方法（需kind CLI）
• 部署：部署指南及kops集群示例
• Prometheus-operator部署：适用于prometheus-operator的DaemonSet配置

Docker部署示例

bash
docker run -d --name cert-exporter \
  -v /host/certs:/certs \
  -v /host/kubeconfig:/kubeconfig \
  -p 9793:9793 \
  joeelliott/cert-exporter:v2.7.0 \
  --path=/certs \
  --kubeconfig=/kubeconfig

该命令挂载主机证书目录和kubeconfig文件，暴露9793端口，监控指定路径证书。