証明書はすべて有効だった。その下の認証局に残り六日しかなかった

背景

きっかけは些細な、内部ホスト名でのブラウザ証明書警告だった。これ自体は不具合ですらなかった——このホストでは公開名が LAN のゲートウェイに解決されるため、設定どおり公開証明書ではなく内部証明書が提示されていただけである。だが理由を追ったことで本当の状態が露見した。ゲートウェイ・GitLab・ArgoCD・オブジェクトストレージを覆う四枚の葉証明書はいずれも九月までの有効期限を示していた。それらに署名した内部認証局は六日後に失効する。cert-manager は既に新しい認証局へ更新済みだったが、葉証明書は一枚も再発行されておらず、全てが失効間近の認証局に連なったままだった。

経路

症状

内部ホスト名でのブラウザ証明書警告

仮説

設定ミスか証明書の期限切れと想定

計測

葉証明書の期限と、署名した認証局の期限を突き合わせた

判断

再発行の前に信頼アンカーを差し替え、実ビルドで裏を取った

対応

本質は順序だった。ビルドパイプラインはイメージ push の信頼アンカーとして同じ認証局を持っていたため、先に証明書を再発行すればすべてのビルドがレジストリを検証できなくなる。まず信頼アンカーを新旧両方の認証局を含む束に差し替え、移行期間中はどちらの経路も検証が通る状態にした。そのうえで証明書を再発行し、実際のパイプラインを流した——最初の手順が効いていたことを証明できる検査はそれしかないからである。逆順で進めれば個々の手順はどれも正しく見えたまま、配信だけが止まっていた。

運用スキルの更新