Certificaten verouderen sneller dan runbooks
De workload-certificaten in jullie mesh zijn kortlevend en roteren automatisch. Al jaren, zonder dat iemand ernaar kijkt. Precies daarom kijkt ook niemand meer naar de rest van de keten.
- Datum
- Onderwerp
- Certificaten
- Bronnen
- 3
- Leestijd
- 2 min
- Versie
- Vertaling
Boven de workload-certificaten hangt namelijk een vertrouwensketen: een root-CA, vaak een intermediate daaronder, en pas helemaal onderaan het kortlevende deel. De bovenste schakels roteren niet vanzelf. Hun vervaldatum wordt gemeten in productiejaren, ver voorbij elk verloop in het team.
Afbeelding als tekst
De vertrouwensketen boven de workload-certificaten: root-CA en intermediate met lange looptijdbalken in jaren, die niet vanzelf roteren, bij de root een rode callout 'ongedocumenteerd?'; daaronder veel kortlevende, automatisch roterende workload-certificaten. Daarbij de visuele controle van één minuut met istioctl proxy-config secret (toont de uitgerolde keten met geldigheidsdata) en de vergelijking voor beslissers: een bekende CA-vervaldatum is een planbaar onderhoudsvenster, een onbekende een totale uitval met aankondiging.
Bij de default-install maakt Istio zijn CA gewoon zelf aan, zelfondertekend. Handig voor de start, en precies daar begint het probleem: deze CA duikt in geen enkele certificaatinventaris van de organisatie op, omdat ze nooit door een officieel proces is gegaan. Drie vragen als test: wie kent de vervaldatum? Waar staat het rotatieplan? Is de rotatie ooit geoefend in plaats van alleen beschreven?
De visuele controle kost één minuut, de tool kennen jullie uit report #8 en #12: istioctl proxy-config secret toont per workload de uitgerolde keten met geldigheidsdata, ook voor de CA-certificaten daarboven.
Wat er gebeurt als de datum ongemerkt dichterbij komt, laat zich afleiden: onder een verlopen keten bestaan geen geldige workload-certificaten meer, en met STRICT uit report #14 hangt daar jullie volledige service-naar-service-verkeer aan.
Voor beslissers is het een datumvergelijking. Een bekende CA-vervaldatum is een onderhoudsvenster dat je jaren vooraf in de agenda zet. Een onbekende is een totale uitval met aankondiging, alleen zonder datum in de agenda.
Hier staat de tent niet plotseling in de fik. Er zit een tijdontsteker op, en die begon te lopen bij de install.
Precies zulke vervaldata brengt een assessment aan het licht, vaak als de onopvallendste regel met de grootste schrik. Wie zijn datum niet kent: meld je gerust. En aan alle anderen: wanneer hebben jullie je mesh-CA voor het laatst bewust bekeken?
