Certificate Lifecycle Management là operating model để quản lý certificate từ inventory, request/issuance, domain validation, deployment, renewal, key rotation/reissue, revocation đến decommission. Owner của URL này là vận hành dài hạn: biết certificate thuộc service nào, ai chịu trách nhiệm, renewal chạy ở đâu và khi automation fail thì escalation/rollback theo đường nào.
Nếu mục tiêu là audit expiry, renewal failure, deployment mismatch hoặc alert triage, xem TLS Certificate Expiry & Renewal Risk Audit. Hai URL được tách search task để không cùng sở hữu một intent.
Certificate inventory tối thiểu cần những field nào?
| Field | Mục đích vận hành |
|---|---|
| Hostname / service / environment | Biết certificate đang bảo vệ tài sản nào |
| Business owner / technical owner | Nhận alert, approve change và xác nhận service |
| CA / issuer | Biết issuance dependency |
| Issuance / validation method | ACME, DNS, HTTP, CDN/cloud managed hoặc workflow khác |
| Key location / exportability | Biết private key nằm ở đâu và ai có quyền |
| Expiry / renewal path | Biết automation/job nào chịu trách nhiệm renewal |
| Last read-back | Xác minh endpoint thực sự phục vụ certificate intended |
| Decommission state | Ngăn certificate/service legacy tiếp tục auto-renew |
Đây là mẫu inventory để điền bằng evidence thực tế; không phải dữ liệu giả lập của SecureWebOps.
Quy trình Certificate Lifecycle Management
Bước 1: Request và approval
Xác định hostname, business purpose, environment, CA và loại certificate. Tránh wildcard hoặc SAN rộng chỉ vì tiện nếu không có nhu cầu thực tế.
Bước 2: Domain validation
Ghi rõ validation dùng DNS, HTTP hay cơ chế managed. Nếu dùng DNS API cho ACME, token nên có scope tối thiểu phù hợp và owner rõ.
Bước 3: Key generation và protection
Private key nên được generate/lưu ở nơi phù hợp với architecture và không copy qua kênh rộng quyền. Nếu key exportable, cần biết ai có quyền export và có audit trail phù hợp.
Bước 4: Deployment và read-back
Sau deploy, kiểm tra certificate mà client thực tế nhận: hostname/SAN, chain, issuer, validity và SNI. Control plane báo success chưa đủ nếu endpoint vẫn trả certificate cũ.
Bước 5: Renewal
Tự động hóa renewal khi phù hợp, có retry, alert và owner. Manual renewal chỉ nên tồn tại khi có lý do rõ và vẫn phải có calendar/escalation. Failure mode thực tế xem case Website Downtime do TLS Certificate hết hạn.
Bước 6: Reissue hoặc key rotation
Khi risk state thay đổi, private key nghi lộ hoặc architecture thay đổi, có thể cần reissue/rotate thay vì chỉ renew certificate cũ.
Bước 7: Revocation
Khi certificate không còn đáng tin, bị issue sai hoặc private key có dấu hiệu compromise, đánh giá revocation theo CA workflow và ảnh hưởng service.
Bước 8: Decommission
Khi service/hostname retire, dừng renewal, remove certificate khỏi endpoint, thu hồi credential liên quan và cleanup dependency không còn cần thiết.
RACI tối thiểu cho certificate lifecycle
| Vai trò | Responsible / Accountable | Evidence cần có |
|---|---|---|
| Service owner | Xác nhận hostname/service còn cần và chấp nhận risk | Service mapping, change approval |
| Platform / DevOps | Automation, deployment, renewal, read-back | Job state, deployment/read-back record |
| Security | Policy, key risk, incident/revocation guidance | Policy hoặc incident decision |
| DNS owner | Validation dependency, CAA và DNS change | DNS state/change record |
Không nhất thiết phải có bốn team riêng; điều quan trọng là responsibility không bị bỏ trống.
Renewal planning record nên lưu gì?
| Field | Cách dùng |
|---|---|
| Expiry date | Mốc ngoài cùng của certificate hiện tại |
| Renewal start target | Thời điểm nội bộ bắt đầu renewal theo lead time của service |
| Automation owner | Job/provider và team chịu trách nhiệm |
| Validation dependency | DNS/HTTP/API/provider-managed flow |
| Escalation owner | Ai xử lý khi renewal fail |
| Fallback path | Đường xử lý có kiểm soát nếu automation không phục hồi kịp |
| Post-renewal read-back | Timestamp và trạng thái endpoint sau deploy |
Không nên áp một ngưỡng ngày cố định cho mọi service; lead time phải dựa trên criticality, CA/provider workflow và khả năng remediation thực tế.
Monitoring không chỉ là đếm ngày hết hạn
Ngoài expiry, nên theo dõi renewal job failure, validation failure, deployment mismatch và alert delivery. Certificate còn hiệu lực nhưng renewal pipeline đã hỏng là signal cần xử lý sớm.
Khi phát hiện failure, dùng TLS renewal-risk audit để triage observed state và bằng chứng PASS/FAIL.
CAA và DNS dependency nằm ở đâu trong lifecycle?
CAA là authorization policy ở DNS cho phép domain owner công bố CA nào được phép issue. Trước khi thay CAA, inventory phải biết CA thực tế của CDN/SaaS/automation để tránh làm renewal fail. Xem CAA Record là gì?.
Certificate change phụ thuộc DNS nên được xử lý theo snapshot, intended state, validation và rollback. Xem DNS Change Management.
Checklist Certificate Lifecycle Management
- Inventory hostname, service và environment.
- Gắn business/technical owner.
- Ghi CA/issuer và issuance method.
- Ghi validation dependency.
- Biết nơi lưu private key và quyền export.
- Tự động hóa renewal khi phù hợp.
- Monitor renewal failure và expiry.
- Read-back endpoint sau deploy/renewal.
- Có process reissue/rotation.
- Có process revocation.
- Review CAA và DNS dependency.
- Decommission certificate cùng service.
- Review certificate legacy/shadow.
Nguồn kỹ thuật tham khảo
Kết luận
Certificate Lifecycle Management là bài toán ownership và vận hành liên tục. Inventory, RACI, renewal path, read-back, revocation và decommission phải nối thành một operating model rõ.
URL này sở hữu operations lifecycle; audit expiry/renewal failure được tách sang bài TLS renewal-risk để owner signal không bị chia.