返回目录 / 安全
服务间 mTLS 与证书轮换
以服务身份验证加密内部连接，规划证书签发、轮换与失效恢复。
Skills
绘制服务身份与信任边界后，选择Istio/证书管理器/云服务中的签发路径，为工作负载分配最小权限身份。验证TLS模式、信任根、SAN和有效期，再设置短周期证书的自动轮换与过期告警；在测试服务先确认新旧证书重叠期与吊销/恢复行为，最后逐步启用严格校验并观测握手失败。 记录部署前后握手成功率和证书剩余有效期以便复查。
权限边界
前置条件
- 需有服务身份、PKI/证书签发方式及信任根；生产环境先建立回滚和带外访问。
权限边界
- 可检查证书配置并提出策略；签发/吊销证书或更改强制TLS会影响服务通信，需安全与运维批准。
限制
证书过期或信任链错误会导致服务全断；先用测试服务验证自动轮换和旧客户端兼容。
固定上游来源
- 仓库
- wshobson/agents
- 文件路径
- plugins/cloud-infrastructure/skills/mtls-configuration/SKILL.md
- 固定提交
46891e7e60da0e52baf1050b7b6391b64e84c6d9- 来源检查
- 2026-10-14 · 已按固定上游来源核对
仓库指标
以下数字属于上游仓库整体，不代表单个 Skill 或指南的点赞/热度。
- Stars
- 未取得
- Forks
- 未取得
- 观测时间
- 未取得
尚未取得指标快照。
许可证: MIT
适用工具
Istio/cert-manager · cloud certificate service · Kubernetes