Oppsett

1. Alle sertifikater-bestillinger ligger på pat.uio.no og i sertifikat-repoet (Git-repoet oppdateres av en upersonlig bruker).
2. De overvåkes basert på en template i Zabbix og skriptet zabbix-check-certificates (som bruker listen med maskiner i bash_aliases i tillegg til manuelt angitte tjenestenavn, f.eks. smtp.uio.no). Dette fordi Zabbix ikke har/hadde sertifikat-overvåkning av tjenester (kun lagrede sertifikater).
3. Zabbix varsler først med informasjon om at sertifikatet vil gå ut om 21 dager. Om det ikke er byttet 7 dager før utløpsdato gis en mer alvorlig advarsel. Det gis også varsel ved manglende informasjon om uløpsdato.
4. I tillegg overvåkes det at tjenster ikke bruker gamle «ciphers» (som er tett knyttet til sertifikater).
5. Mange, men ikke alle, sertifikater distribueres med CFEngine.

Forbedringer/utfordringer

1. Vi har ikke overvåkning av «dual stack», altså tjenster som støtter både EC- og RSA-sertifikater. Kun en av de.
2. Det er heller ikke overvåkning av sertifikater på både IPv6 og IPv4. Kun en av de.
3. Automatisere fornying, samt distribusjon av alle sertifikater (vil ta tid, vi har mange forskjellige tjenester).
4. Overvåke flere interne sertifikater som ikke er kritiske.

Oversikt