Ich habe ausprobiert, die verbleibende Lebenszeit von X.509-Zertifikaten per Telegraf, Influx und Grafana zu überwachen

Man nimmt dazu einfach eine bestehende Telegraf-Instanz und aktiviert das entsprechende Input-Plugin:

# Reads metrics from a SSL certificate
[[inputs.x509_cert]]
    sources = ["tcp://192.168.10.1:443","tcp://192.168.10.2:443","tcp://ttrss.pi-docker.lab:443","tcp://traefik2.pi-docker.lab:443","tcp://traefik2.docker.lab:443","tcp://keycloakserver.docker.lab:443","tc

    # timeout = "5s"

      # server_name = ""

    tls_ca = "/etc/telegraf/ca.pem"
  # tls_cert = "/etc/telegraf/cert.pem"
  # tls_key = "/etc/telegraf/key.pem"

Ich musste tls_ca ebenfalls aktivieren, da ich meine Zertifikate in einer eigenen PKI verwalte und das Plugin auch Informationen über die Validität des jeweiligen Zertifikats in Influx schreibt (und ich diese Informationen auch anzeigen wollte) - ich habe dazu einfach die Datei für die chain unter /etc/telegraf/ca.pem gespeichert.

Anschließend - und nachdem ich validiert hatte, dass die Informationen in Influx ankamen - musste ich noch ein geeignetes Dashboard dafür erzeugen. Ich gebe zu, dass ich in letzter Zeit so etwas kaum noch selber erledige - meistens sehe ich online nach, ob es dort bereits eines gibt, das mir gefällt und importiere dieses dann in meine Grafana-Installation.

Zu diesem Thema fand ich dieses hier und dieses.

Das erstere gefiel mir und ich benutze es seither mit einer kleinen Änderung an der Legende der X-Achse. Das Dashboard hat sogar bereits einen Alarm definiert, der über den baldigen Ablauf eines Zertifikats informiert.

Ich habe diese Lösung bereits dazu benutzt, Web-Server und auch Mail-Server Zertifikate zu überwachen - Mailserver lassen sich überwachen, indem man den IMAPS-Port in der Telegram-Konfiguration angibt - mit dem SMPTS-Port hat es bei mir zumindest nicht funktioniert...

Zum Schluss noch einige Links mit Hintergrund zu diesem Thema:

Links

Artikel, die hierher verlinken