Belajar PKI - Certificate Lifecycle & Automation

#Pendahuluan

Di episode 13 kalian melindungi kunci privat dengan HSM, KMS, dan split knowledge. Kunci memang aman, tetapi sertifikat yang beredar tetap perlu dikelola sepanjang hidupnya. Episode 14 menyatukan semua pelajaran sebelumnya menjadi satu disiplin utuh: siklus hidup sertifikat, dari lahir sampai pensiun.

Sertifikat adalah aset yang kedaluwarsa. Tanpa pengelolaan yang sistematis, beberapa sertifikat pasti terlewat, aplikasi tiba-tiba mati, dan tim sibuk memadamkan kebakaran di tengah malam. Otomatisasi mengubah pekerjaan reaktif menjadi proses yang berjalan sendiri.

Roadmap episode ini: kita telusuri setiap tahap siklus hidup, pelajari pemantauan kedaluwarsa, lihat alasan di balik sertifikat short-lived, kenali SPIFFE dan SPIRE untuk mTLS di service mesh, lalu rakit observability dengan cert-monitor dan cert-manager cainjector.

#Lima Tahap Siklus Hidup Sertifikat

Siklus hidup sertifikat bisa dipecah menjadi lima tahap yang berulang: enrollment, issuance, distribution, renewal, dan revocation. Memahami urutan ini membantu kalian menemukan titik otomasi di masing-masing tahap.

#Enrollment

Enrollment adalah proses mendaftarkan entitas agar diakui CA. Entitas membuktikan identitasnya, lalu memperoleh hak untuk meminta sertifikat. Di step-ca, enrollment terjadi lewat provisioner; di Vault, lewat role dan token; di Kubernetes, lewat service account.

#Issuance

Issuance menghasilkan sertifikat dari CSR yang diajukan. CA memverifikasi bahwa pemohon berhak atas nama yang diminta, menerapkan kebijakan seperti masa berlaku dan usages, lalu menandatangani. Di tahap ini kebijakan profile yang kalian susun di episode 11 dan 12 benar-benar bekerja.

#Distribution

Sertifikat yang sudah diterbitkan harus sampai ke pemakai dengan aman. Distribusi mencakup menulis file ke service, memasang ke trust store, atau mengirim lewat mount di Kubernetes. trust-manager dari episode 10 adalah contoh otomasi distribusi untuk bundle CA.

#Renewal

Sebelum kedaluwarsa, sertifikat harus diperbarui. Renewal idealnya berjalan otomatis jauh sebelum batas waktu, dengan waktu yang cukup untuk memperbaiki kegagalan. cert-manager, step-ca, dan Vault Agent semuanya mendukung pola ini.

#Revocation

Ketika kunci bocor atau entitas tidak lagi terpercaya, sertifikat dicabut. Revocation memutus kepercayaan lebih awal daripada kedaluwarsa. CRL dan OCSP yang dibahas episode 12 adalah mekanisme untuk mengumumkan status ini ke pemakai.

#Memantau Kedaluwarsa

Sertifikat yang kedaluwarsa tanpa diketahui adalah penyebab paling umum insiden TLS. Solusinya adalah pemantauan yang proaktif: setiap sertifikat harus diketahui tanggal akhirnya, dan peringatan harus muncul jauh sebelumnya.

openssl x509 -in cert.pem -noout -enddate

openssl x509 -noout -enddate menampilkan masa berlaku sertifikat. Untuk skala besar, pemantauan manual tidak cukup. step-ca menyediakan cert-monitor, alat yang memantau sertifikat dan mengirim pemberitahuan ketika masa berlaku mendekati akhir.

cert-monitor --cert /etc/tls/cert.pem

cert-monitor bisa dikonfigurasi dengan banyak sertifikat sekaligus dan berbagai saluran pemberitahuan. Ia juga cocok dipadukan dengan metrik sehingga kedaluwarsa muncul sebagai alarm di dashboard tim.

Cara paling sederhana untuk memulai: kumpulkan semua sertifikat ke satu inventaris, tetapkan ambang peringatan, lalu pasang pemeriksaan berkala. Langkah ini terdengar sepele, tetapi menyelamatkan banyak malam yang tidak tenang.

#Sertifikat Short-Lived

Semakin pendek masa berlaku, semakin kecil jendela penyalahgunaan jika kunci bocor. Tren modern menurunkan masa berlaku dari satu tahun menjadi hitungan hari.

Sertifikat short-lived umumnya berkisar 24 jam hingga 7 hari. Pada rentang ini, pemantauan kedaluwarsa menjadi kurang relevan karena sertifikat terus berganti. Yang lebih penting adalah keandalan otomasi renewal, karena kegagalan sesaat bisa langsung melumpuhkan service.

step-ca dan Vault sama-sama bisa menerbitkan sertifikat berumur pendek. Kuncinya ada pada kebijakan yang konsisten: berapa jam paling lama yang diizinkan, dan seberapa cepat renewal berjalan setelah sertifikat terbit.

step ca certificate api.internal cert.pem key.pem \
  --not-after 24h

Dengan --not-after 24h, step-ca menerbitkan sertifikat yang hanya berlaku satu hari. Penggantian sertifikat harus diotomatiskan penuh, misalnya dengan daemon renewal atau cert-manager di Kubernetes.

#SPIFFE dan SPIRE

SPIFFE memberikan setiap workload sebuah identitas universal berbentuk spiffe ID, misalnya spiffe://example.org/workload/api. SPIRE menerbitkan SVID, yaitu sertifikat pendek umur yang membuktikan identitas tersebut, dan menyuntikkannya ke pod atau mesin.

Di service mesh, identitas dari SPIFFE menjadi dasar mTLS. Setiap workload membuktikan identitasnya lewat SVID sebelum traffic diterima, sehingga service bisa memutuskan akses berdasarkan siapa yang meminta, bukan sekadar alamat jaringan.

spire-server entry create \
  -spiffeID spiffe://example.org/workload/api \
  -parentID spiffe://example.org/agent \
  -selector k8s:pod-label:app:api

Entri di atas memberi identitas kepada pod berlabel app:api. SPIRE memverifikasi kondisi pod melalui attestor, lalu menyediakan SVID yang diperbarui otomatis sebelum kedaluwarsa. Inilah otomasi siklus hidup pada level identitas.

#Observability dan Alat Pendukung

Sertifikat yang terotomasi tetap perlu terlihat. Metrik harus menjawab pertanyaan: berapa sertifikat aktif, kapan yang berikutnya kedaluwarsa, dan apakah ada renewal yang gagal.

Di Kubernetes, cert-manager menyediakan komponen bernama cainjector. Ia menulis bundle CA ke ConfigMap atau Secret yang dipakai aplikasi, sehingga setiap penerbitan baru langsung membuat trust store diperbarui.

kubectl get certificate web01-tls -o yaml

kubectl get certificate menampilkan status dan kondisi resource. Untuk pemantauan antar cluster, gabungkan metrik cert-manager dengan Prometheus dan alert. Kombinasi ini menutup celah antara penerbitan otomatis dan kesadaran manusia.

#Penutup

Episode 14 merangkai seluruh rangkaian menjadi satu alur yang utuh. Kalian memahami lima tahap siklus hidup sertifikat, memantau kedaluwarsa dengan cert-monitor, memakai sertifikat short-lived 24 jam hingga 7 hari, mengenal SPIFFE dan SPIRE untuk mTLS di service mesh, serta membangun observability dengan cert-manager cainjector.

Inti yang harus dibawa pulang:

• Siklus hidup sertifikat terdiri dari enrollment, issuance, distribution, renewal, dan revocation.
• Pemantauan kedaluwarsa yang proaktif mencegah insiden paling umum.
• Sertifikat short-lived mengecilkan jendela penyalahgunaan dan menggeser prioritas ke otomasi renewal.
• SPIFFE dan SPIRE mengubah sertifikat menjadi identitas workload yang dirotasi otomatis.
• cert-manager cainjector memperbarui trust store aplikasi secara otomatis.
• Observability memastikan otomasi yang berjalan tetap terlihat dan bisa dipercaya.

Di episode 15 kita mengangkat semuanya ke tataran arsitektur. Kalian akan belajar Zero Trust dan service identity: mTLS sebagai fondasi, workload identity versus machine identity, service mesh seperti Linkerd, Istio, dan Cilium, serta SSH PKI dengan step-ca. Sampai jumpa!