TLS证书过期监控工具镜像

镜像概述

本镜像是一个轻量级工具，用于将TLS证书的过期时间转换为Prometheus兼容指标，帮助用户实时监控证书有效期。通过Prometheus采集这些指标，结合Grafana等可视化工具，可实现证书过期预警，确保依赖TLS/SSL的服务（如HTTPS网站、API网关、内部服务等）持续可用。

核心功能与特性

核心功能

• 暴露Prometheus指标：将TLS证书的剩余有效时间（秒/天）以Prometheus指标形式暴露，支持Prometheus直接抓取。
• 多来源证书检查：支持监控本地文件系统中的证书文件（如.crt、.pem）及远程URL（如[***]）的证书。

关键特性

• Prometheus兼容：指标格式符合Prometheus规范，可直接集成到现有监控体系。
• 灵活配置：支持通过命令行参数或环境变量自定义检查目标、频率、超时等参数。
• 轻量级：基于精简基础镜像，容器体积小，资源占用低。

使用场景与适用范围

适用场景

• Web服务监控：监控Nginx、Apache、IIS等Web服务器的TLS证书。
• API与微服务：监控内部微服务、API网关（如Kong、APISIX）的证书有效期。
• 基础设施组件：监控数据库（如PostgreSQL、MongoDB）、消息队列（如Kafka、RabbitMQ）等依赖TLS的中间件证书。

适用范围

• 依赖HTTPS/TLS协议的生产环境、测试环境或开发环境。
• 需要自动化监控证书生命周期，避免人工巡检遗漏的场景。
• 已部署Prometheus+Grafana监控体系的用户，可直接接入现有告警规则。

使用方法与配置说明

基本使用（docker run）

1. 监控本地证书文件

将本地证书文件挂载到容器内，指定证书路径进行监控：

docker run -d \
  -p 9100:9100 \  # 暴露Prometheus指标端口
  -v /path/to/local/certs:/certs \  # 挂载本地证书目录到容器内/certs
  --name tls-cert-monitor \
  your-image-name \
  --cert-file /certs/server.crt \  # 容器内证书路径
  --metrics-port 9100 \  # 指标暴露端口（默认9100）
  --check-interval 300  # 检查间隔（秒，默认300）

2. 监控远程URL证书

通过URL检查远程服务的TLS证书（如[***]）：

docker run -d \
  -p 9100:9100 \
  --name tls-cert-monitor \
  your-image-name \
  --cert-url [***] \  # 远程服务URL（需指定端口，默认443）
  --metrics-port 9100 \
  --timeout 10  # 连接超时时间（秒，默认10）

docker-compose配置示例

创建docker-compose.yml文件，配置多证书监控：

version: '3'
services:
  tls-cert-monitor:
    image: your-image-name
    ports:
      - "9100:9100"
    volumes:
      - /path/to/local/certs:/certs  # 本地证书目录
    command: >
      --cert-file /certs/server1.crt \  # 监控本地证书1
      --cert-file /certs/server2.pem \  # 监控本地证书2
      --cert-url [***] \  # 监控远程API证书
      --metrics-port 9100 \
      --check-interval 600  # 每10分钟检查一次

配置参数说明

命令行参数

Prometheus指标格式

工具暴露的核心指标如下（可通过http://<容器IP>:9100/metrics访问）：

注意事项

1. 证书权限：挂载本地证书文件时，确保容器内用户有读取权限（可通过--user指定用户或调整文件权限）。
2. 网络访问：监控远程URL时，容器需能访问目标服务的443端口（或自定义端口），确保网络策略允许。
3. Prometheus配置：需在Prometheus的scrape_configs中添加对该容器指标端口（默认9100）的抓取配置，例如：

   scrape_configs:
     - job_name: 'tls-cert-monitor'
       static_configs:
         - targets: ['tls-cert-monitor:9100']  # 容器名称或IP:端口
   

4. 告警规则：建议在Prometheus中配置告警规则（如当tls_certificate_expiry_days < 30时触发告警），及时通知管理员更新证书。