证书过期导致服务中断
上周三凌晨，运维群里突然炸了锅——线上订单系统无法提交，排查发现是API网关返回502错误。顺着日志往下翻，最终定位到一个关键线索：SSL握手失败。进一步检查发现，集群中几台新上线的节点使用的授权证书早在两天前就已过期。
这种情况并不少见。在动态伸缩的集群环境中，自动扩容出来的实例如果没走完完整的证书部署流程，就会带着“裸证书”上岗。等原证书一过期，新旧交替时问题集中爆发，用户最先感知。
统一时间源很重要
有次排查证书无效问题，发现同一集群里有的节点提示“证书未生效”，有的却说“证书已过期”。查了一圈才发现，个别机器NTP同步异常，系统时间比标准慢了18分钟。证书验证依赖精确时间，哪怕差个几分钟都可能被判定为不合法。
建议所有节点强制配置统一的时间同步服务，并定期巡检chrony或ntpd状态。
私钥权限配置不当
某次更新证书后，Nginx重启报错：cannot load certificate key。查看文件权限，发现私钥文件是root写入，而worker进程以www-data运行，读不了.key文件。
chmod 640 /etc/ssl/private/server.key
chown root:ssl-cert /etc/ssl/private/server.key顺便把相关目录加进ssl-cert组，既保证安全又确保服务可读。
证书链不完整
前端浏览器访问正常，但安卓App调用接口时报证书不受信任。抓包分析发现，服务器只返回了站点证书，中间CA证书没带上。移动端不像桌面浏览器自带齐全的根证书库，漏传中间证书就容易翻车。
用openssl命令可以快速验证：
openssl s_client -connect api.example.com:443 -showcerts看到输出里有完整的层级才算合格。
自动化部署中的坑
用Ansible批量推证书时，曾因模板路径写错，把测试环境的通配符证书发到了生产集群。幸好灰度发布先跑了两台，监控立马报警证书域名不匹配。
现在我们加了校验步骤：每次部署前自动执行脚本，检查证书CN/SAN是否包含当前环境域名，否则中断发布。
多活数据中心的同步难题
公司在上海和成都各有一个数据中心，共用同一个域名做负载。之前手动维护两套证书，结果成都团队忘了更新，上海续签后一半流量还是掉证书里。
后来上了统一证书管理系统，所有集群通过API拉取最新凭证，定时轮询+变更通知双保险，再没出过跨中心不一致的问题。小改动也可能引发大问题。比如某次把证书从RSA换成ECDSA，虽然算法更高效，但老版本JDK7的Java服务无法识别，直接连不上。技术升级得考虑兼容性，尤其是那些藏在角落里的老旧模块。
现在每轮证书变更前，都会跑一遍服务兼容清单，确认所有消费者都能跟上节奏。