怎样为运维启用SSL

为**运维（Ops/System）**启用 SSL，通常目标是：服务之间、或对外暴露的运维平台（如 Prometheus、Grafana、Kibana、Jenkins、Consul、K8s API 等）使用 HTTPS/TLS 加密通信。

下面按常见场景给你一套可落地的做法。

一、先明确：你要给“谁”启用 SSL？

二、最通用的做法（推荐）

✅ 方案：反向代理 + SSL（最常见）

架构：

用户 → HTTPS → Nginx / Ingress → 运维服务(HTTP)

1️⃣ 生成或申请证书

• 公网：Let’s Encrypt
• 内网：自建 CA 或企业 CA

# 示例（自签，仅测试）
openssl req -x509 -nodes -days 365 \
  -newkey rsa:2048 \
  -keyout ops.key \
  -out ops.crt

2️⃣ Nginx 配置示例

server {
    listen 443 ssl;
    server_name ops.example.com;

    ssl_certificate     /etc/ssl/ops.crt;
    ssl_certificate_key /etc/ssl/ops.key;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
    }
}

✅ 优点：

• 运维服务本身不改代码
• 集中管理证书
• 易做认证 / 限流

三、Kubernetes 运维组件启用 SSL

✅ 推荐：cert-manager + Ingress

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: grafana
  annotations:
    cert-manager.io/cluster-issuer: letsencrypt-prod
spec:
  tls:
  - hosts:
    - grafana.example.com
    secretName: grafana-tls
  rules:
  - host: grafana.example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: grafana
            port:
              number: 3000

四、运维服务自身启用 SSL（不推荐但可行）

示例：Prometheus

tls_config:
  cert_file: /etc/prometheus/tls.crt
  key_file: /etc/prometheus/tls.key

⚠️ 缺点：

• 每个组件都要配
• 证书轮换麻烦

五、内部服务间 mTLS（进阶）

适合：

• 安全合规要求高
• 零信任架构

工具：

• SPIFFE / SPIRE
• Istio / Linkerd
• Consul Connect

六、运维启用 SSL 的最佳实践

✅ 统一入口做 TLS
✅ 内部用私有 CA
✅ 证书自动续期
✅ 禁用 TLS 1.0 / 1.1
✅ 启用 HSTS（对外）

七、如果你愿意，我可以更具体

你可以告诉我：

1. 是 物理机 / 虚拟机 / K8s？
2. 是 Web 平台 / API / 服务间通信？
3. 用 Nginx / Traefik / Ingress / LB？
4. 内网还是公网？

我可以直接给你可复制的配置模板。