Certificate Lifecycle

자동 갱신은 발급보다 운영 연결 상태를 더 많이 본다

클라우드 관리형 인증서도 DNS 검증, 로드 밸런서 연결, 체인 변경, 배포 후 적용 확인이 함께 돌아가야 안전하다.

현재 기본 90일 인증서도 짧고, 앞으로 더 짧은 수명에 맞는 자동화가 필요하다.
고정 60일 같은 주기보다 ARI와 남은 수명 기준 갱신이 더 안전하다.
renew 성공만으로 충분하지 않고 실제 서비스 반영까지 확인해야 한다.
관찰 Expiry, chain, issuer를 계속 본다

인증서 자체와 서비스가 내보내는 체인이 서로 맞는지 확인한다.

권한 DNS 또는 LB 권한이 끊기면 자동화도 멈춘다

DNS-01 레코드, CNAME 위임, 로드 밸런서 바인딩을 함께 관리한다.

D1
발급 체인 설치, 서비스 reload
valid
D60
갱신 시도 ARI 또는 남은 수명 기준
renew
D90
만료 여기까지 오면 장애 위험
alarm
배포 파일만 바뀌면 끝이 아니다

Nginx, ALB, CDN, 앱 서버가 새 인증서를 실제로 내보내는지 본다.

검증 외부에서 접속해 체인을 확인한다

중간 CA 누락, 잘못된 SAN, 오래된 체인은 내부 테스트만으로 놓치기 쉽다.

AWS ACM / Cloudflare 발급과 갱신을 대신하지만 연결 설정은 남는다
cert-manager / Vault PKI 내부 인증서와 Kubernetes 워크로드에 적합
알림 기준 ARI 실패, 만료 30/14/7일, 체인 변경, reload 실패