SSL証明書の有効期限監視をLambda+CloudWatchで実装する
SSL証明書の有効期限をLambdaで取得し、CloudWatchにカスタムメトリクスを送り、CloudWatch Alarmで通知する
AWS上のEC2インスタンスや各種サービスの監視を行う際、CloudWatch Alarmを活用しているケースは多いと思います。
このような場面を想定し、Lambdaで毎日SSL証明書の有効期限チェックを行い、CloudWatchに各ドメインの残日数を送り、その日数をターゲットとしたCloudWatch Alarmを設定することができるようにしたいと思います。
環境
ランタイム:node.js 6.10
開発環境:AWS Cloud9
監視対象の管理
監視対象のドメインは適宜増減することが想定されます。
これらを簡単に管理するために、今回はAWS Systems Manager のパラメータストアにて管理を行います。
パラメータストアに、下記のようなパラメータを登録します。
項目 | 内容 |
---|---|
キー名 | /monitor/certificate/domains |
タイプ | 文字列 |
値 | [ "hogehoge.com", "example.com" ] |
上記のようにチェックを行うドメインをJSON配列形式で設置します。
Lambdaコード
下記ので実装できます。
※child-process-promise を使用していますが、モジュールのインストールを別途行わなくてもよい
child_processを使っても良いと思います。(全てをPromiseで統一したかったのであえてchild-process-promiseを使っています)
const AWS = require('aws-sdk');
var SSM;
var CW;
exports.handler = (event, context, callback) => {
if(SSM===undefined){
SSM = new AWS.SSM({region: 'ap-northeast-1'});
}
if(CW===undefined){
CW = new AWS.CloudWatch({region: 'ap-northeast-1'});
}
Promise.resolve()
.then(()=>{
return new Promise((resolve)=>{
let ssm_params = {
Name: "/monitor/certificate/domains"
};
let ssm_parameter = SSM.getParameter(ssm_params).promise();
ssm_parameter.then((data)=>{
resolve(JSON.parse(data.Parameter.Value));
});
});
})
.then((domains)=>{
return new Promise((resolve)=>{
let check_expire_list = [];
domains.forEach((domain)=>{
check_expire_list.push(checkExpire(domain));
});
Promise.all(check_expire_list)
.then((result_valid)=>{
resolve(result_valid);
});
});
})
.then((valid_list)=>{
return new Promise((resolve)=>{
let metric_list = [];
valid_list.forEach((result)=>{
var params = {
MetricData: [
{
MetricName: 'valid_days',
Dimensions: [
{
Name: 'domain',
Value: result.domain
}
],
Unit: 'None',
Value: result.valid_days
}
],
Namespace: 'SSLCertificate'
};
metric_list.push(CW.putMetricData(params).promise());
});
Promise.all(metric_list)
.then((data)=>{
resolve();
});
});
})
.then(()=>{
callback();
});
};
var checkExpire = (domain)=>{
return new Promise((resolve)=>{
let exec = require('child-process-promise').exec;
let cmd = "openssl s_client -connect " + domain + ":443 -servername " + domain + " < /dev/null 2> /dev/null | openssl x509 -text | grep Not | sed -e 's/^ *//g' | sed -e 's/Not.*:\ //g'";
let now = new Date();
exec(cmd)
.then((result)=>{
let not = result.stdout.split("\n");
let expire_date = new Date(not[1]);
let valid_days = Math.floor((expire_date - now) / 1000 / 3600 / 24);
console.log(domain+" の残り日数は "+valid_days + " です");
resolve({'domain': domain,'valid_days': valid_days});
});
});
};
SAM Template(CloudFormation)
上記のコードをデプロイするためのSAMテンプレートとして、下記のテンプレートでデプロイすることで、CloudWatchEventsにて毎日実行する設定を同時に行われます。
AWSTemplateFormatVersion: '2010-09-09'
Transform: 'AWS::Serverless-2016-10-31'
Description: SSL certificate monitoring function.
Resources:
monitorCertExpire:
Type: 'AWS::Serverless::Function'
Properties:
Handler: monitorCertExpire/index.handler
Runtime: nodejs6.10
Description: ''
MemorySize: 256
Timeout: 300
Events:
CheckExpire:
Type: Schedule
Properties:
Schedule: rate(1 day)
Input: "{}"
CloudWatch
上記をデプロイすることで、CloudWatchメトリクスに 名前空間:SSLCertificate メトリック:valid_days で有効期限切れまでの残り日数が毎日送信されます。
このメトリックデータを使用し、間隔:1日 統計:最小 期間:1中1のデータポイント にて、アラートさせたい日数をしきい値としてアラームを設定することでこれまで通り他の監視と同様に扱うことができます。
参考にさせていただきました
https://qiita.com/zwirky/items/25b1a66dac534f67ca03
https://blog.manabusakai.com/2016/07/lambda-cert-expire/
Author And Source
この問題について(SSL証明書の有効期限監視をLambda+CloudWatchで実装する), 我々は、より多くの情報をここで見つけました https://qiita.com/nakayama_cw/items/093e21d1ff58b620d166著者帰属:元の著者の情報は、元のURLに含まれています。著作権は原作者に属する。
Content is automatically searched and collected through network algorithms . If there is a violation . Please contact us . We will adjust (correct author information ,or delete content ) as soon as possible .