用途
该技能用于在基础设施中实现自动化的 SSL/TLS 证书管理，涵盖证书的签发、续期、监控以及向各服务的安全分发，目的是用自动化流程替代手动证书维护。
主要能力与适用场景
根据资料，适用于以下场景：
- HTTPS/TLS 启用
- 证书续期自动化
- 多域名证书管理
- 通配符证书处理
- 证书监控与告警
- 零停机证书轮换
- 内部 PKI 管理
使用方式
快速开始提供了一个基于 cert-manager 的最小可用示例，配置文件名为 cert-manager-setup.yaml，定义了一个名为 letsencrypt-prod 的 ClusterIssuer，使用 ACME 协议对接 Let's Encrypt 生产端点，并配置了两种验证方式：
- HTTP-01 solver：用于标准域名（如 myapp.com、www.myapp.com），通过 nginx ingress class 完成验证。
- DNS-01 solver：用于通配符域名，使用 Route53（region: us-east-1）完成 DNS 验证。
示例片段如下：
# cert-manager-setup.yaml
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
name: letsencrypt-prod
spec:
acme:
server: https://acme-v02.api.letsencrypt.org/directory
email: admin@myapp.com
privateKeySecretRef:
name: letsencrypt-prod
solvers:
# HTTP-01 solver for standard domains
- http01:
ingress:
class: nginx
selector:
dnsNames:
- "myapp.com"
- "www.myapp.com"
# DNS-01 solver for wildcard domains
- dns01:
route53:
region: us-east-1
// ... (see reference guides for full implementation)
完整实现需参考参考资料目录中的文档。
参考资料主题
资料列出 references/ 目录下的详细实现指南，包括：
- Let's Encrypt with Cert-Manager
- AWS ACM Certificate Management
- Certificate Monitoring and Renewal
- Automated Certificate Renewal
- Certificate Pinning
最佳实践
建议做法：
- 自动化证书续期
- 公开证书使用 Let's Encrypt
- 监控证书过期
- 策略性地使用通配符证书
- 实施证书固定
- 定期轮换证书
- 安全存储密钥
- 使用强密钥长度（RSA 2048+、ECDSA 256+）
应避免的做法：
- 手动管理证书
- 在生产环境使用自签名证书
- 共享私钥
- 忽略过期告警
- 使用弱密钥长度
- 混用开发与生产证书
- 将证书提交到 git
- 关闭证书校验
限制
资料未提供该技能的具体安装命令、支持的平台范围、收费与价格信息，以及实际效果验证数据；完整实现细节需参考其 references/ 目录下的指南，本简介未涵盖这些内容。