mogensen/cert-checker

cert-checker

cert-checker是一款TLS证书监控工具，用于监控TLS证书状态，将检查结果以Prometheus指标形式暴露，以便通过仪表板查看或向集群操作员发送非紧急警报。该工具灵感来源于jetstack的version-checker。

核心功能和特性

证书错误检测

支持检测多种证书错误类型：

• 证书过期
• 主机不匹配
• 根证书错误
• 证书吊销
• 不允许的密码套件（dh480、dh512、null、rc4）

检测到的证书错误会显示在Grafana仪表板上。

最小TLS版本检测

检查端点支持的最小SSL/TLS版本，包括：

• SSL 3.0（2015年弃用）
• TLS 1.0（2020年弃用）
• TLS 1.1（2020年弃用）
• TLS 1.2
• TLS 1.3

最小支持版本会显示在Grafana仪表板上。

权限特点

无需root权限、CAP_NET_RAW capability（Linux）或管理员权限（Windows）即可运行。

使用场景和适用范围

• 监控网站TLS证书状态
• 监控内部服务TLS证书
• 确保TLS版本合规性
• 提前预警证书过期
• 检测不安全的密码套件使用

详细使用方法和配置说明

配置文件

创建config.yaml配置文件，示例：

yaml
loglevel: debug
port: 8080  # 可选， metrics端口
intervalminutes: 10  # 检查间隔（分钟）
certificates:
    - dns: google.com  # 要监控的域名
    - dns: expired.badssl.com

安装方式

Docker运行

1. 下载配置文件：

bash
curl https://raw.githubusercontent.com/mogensen/cert-checker/main/config.yaml -O

2. 启动容器：

bash
docker run -p 8081:8081 -p 8080:8080 -v ${PWD}/config.yaml:/app/config.yaml mogensen/cert-checker:latest

访问：

• Web仪表板：http://localhost:8081/
• Metrics端点：http://localhost:8080/metrics

docker-compose部署

该仓库提供包含Prometheus、Grafana和cert-checker的完整栈示例：

bash
cd deploy/docker-compose/
docker-compose up -d

服务访问地址：

需编辑deploy/docker-compose/cert-checker/config.yaml配置要监控的域名。

Kubernetes静态清单

bash
# 创建命名空间
kubectl create namespace cert-checker

# 部署cert-checker及服务
kubectl apply -n cert-checker -f deploy/yaml/deploy.yaml

# 若使用Grafana边车加载仪表板
kubectl apply -n cert-checker -f deploy/yaml/grafana-dashboard-cm.yaml

# 若使用Prometheus CRD配置抓取目标
kubectl apply -n cert-checker -f deploy/yaml/servicemonitor.yaml

需编辑ConfigMap配置实际监控的域名。

Helm部署

bash
# 创建命名空间
kubectl create namespace cert-checker

# 安装Helm chart
helm install cert-checker deploy/charts/cert-checker --namespace cert-checker

如需配置Prometheus抓取，可添加标签：

bash
helm upgrade cert-checker deploy/charts/cert-checker \
    --namespace cert-checker            \
    --set=grafanaDashboard.enabled=true \
    --set=serviceMonitor.enabled=true   \
    --set=serviceMonitor.additionalLabels.release=prometheus

Kustomize部署

创建kustomization.yaml：

yaml
apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization
namespace: cert-checker
resources:
- github.com/mogensen/cert-checker/deploy/yaml

# 覆盖配置
patchesStrategicMerge:
- |-
    apiVersion: v1
    kind: ConfigMap
    metadata:
      name: cert-checker
      namespace: cert-checker
    data:
      config.yaml: |
        loglevel: info
        intervalminutes: 60
        certificates:
            - dns: my-very-own-domain.com

部署：

bash
kustomize build kustomization.yaml | kubectl apply -f -

Web仪表板

默认在http://0.0.0.0:8081/暴露Web UI，显示证书监控状态概览。

指标

默认在http://0.0.0.0:8080/metrics暴露Prometheus指标。

Grafana仪表板

提供Grafana仪表板（位于deploy/yaml/grafana-dashboard-cm.yaml），显示：

• 损坏证书数量
• 即将过期证书数量
• 良好证书数量
• 证书错误列表
• 有效证书过期时间
• 最小TLS版本支持情况

仪表板颜色编码：

• 红色：存在问题，需立即修复
• 橙色：存在潜在问题，建议修复
• 绿色：状态良好

命令行选项

bash
$ cert-checker -h
Certificate monitoring utility for watching tls certificates and reporting the result as metrics.

Usage:
  version-checker [flags]

Flags:
  -c, --config string   配置文件路径（默认：config.yaml） (default "config.yaml")
  -h, --help            显示帮助信息

开发

本地测试Kubernetes环境：

bash
# 创建kind集群并安装Prometheus
make dev-kind-create

# 构建镜像、加载到kind并部署
make image dev-kind-install

本地服务访问地址：