basa/ssl-pubkey-fingerprint-exporter Docker 镜像 - 轩辕镜像

SSL公钥指纹Exporter

镜像概述和主要用途

该Prometheus exporter用于监控SSL证书的公钥指纹，通过导出证书公钥的SHA-256指纹作为Prometheus指标，帮助用户实时跟踪SSL证书的变化情况，确保证书安全性。

核心功能和特性

• 导出SSL证书公钥的SHA-256指纹为Prometheus指标
• 支持多目标监控，可配置多个SSL服务端点
• 提供/probe接口用于探测指定目标的证书指纹
• 指标包含目标地址和指纹信息，便于精确识别和告警

使用场景和适用范围

适用于需要监控SSL证书状态的场景，例如：

• 检测SSL证书是否被未授权更换或篡改
• 跟踪证书更新过程，确保证书轮换正常执行
• 监控关键业务域名的SSL证书状态，及时发现异常变更

使用方法

Docker部署

拉取镜像

bash
docker pull basa/ssl_pubkey_fingerprint_exporter

运行容器

bash
docker run -p 3000:3000 basa/ssl_pubkey_fingerprint_exporter

• 容器默认暴露3000端口，用于提供Prometheus指标接口

指标说明

导出的Prometheus指标格式如下：

# HELP ssl_pubkey_fingerprint SSL证书公钥SHA-256指纹
# TYPE ssl_pubkey_fingerprint gauge
ssl_pubkey_fingerprint{fingerprint="base64encodedsha256sumofbinarypublickey=",target="example.com:443"} 1

• 指标名称：ssl_pubkey_fingerprint
• 指标类型：gauge
• 标签说明：
  • fingerprint：公钥二进制内容的SHA-256哈希值（Base64编码）
  • target：监控目标地址（格式为域名:端口）
• 指标值：恒为1，表示当前指纹存在

Prometheus配置

抓取配置

在Prometheus配置文件中添加以下抓取配置，用于采集指标：

yaml
scrape_configs:
  - job_name: "ssl-pubkey-fingerprint-exporter"
    metrics_path: /probe
    static_configs:
      - targets:
          - example.com:443  # 监控目标1（域名:端口）
          - [***]  # 监控目标2（HTTPS URL）
    relabel_configs:
      - source_labels: [__address__]
        target_label: __param_target  # 将目标地址作为查询参数传递给exporter
      - source_labels: [__param_target]
        target_label: instance  # 将目标地址标记为instance标签
      - target_label: __address__
        replacement: ssl-pubkey-fingerprint-exporter:3000  # exporter服务地址和端口

示例查询

使用以下Prometheus查询可检测指定目标的证书指纹是否存在（指纹变更或目标不可达时触发告警）：

absent(ssl_pubkey_fingerprint{fingerprint="base64encodedsha256sumofbinarypublickey",target="example.com:443"})

• 当指定指纹不存在时，absent函数返回1，可用于配置告警规则