云原生架构下，微服务、容器化部署普及推动多子域HTTPS 加密需求提升，DV（DomainValidation）通配符证书凭借“一证覆盖主域及所有一级子域”的优势，成为轻量化加密首选。但云原生的动态性、分布式特性，易导致证书同步不及时，手动管理还会引发过期、私钥泄露等风险。本文拆解各环节核心要点及实操注意事项，助力技术团队实现证书自动化管理闭环。
一、证书全生命周期核心框架
DV 通配符证书全生命周期包含申请验证、部署适配、日常运维、续期更新、吊销回收五大环节，各环节需适配云原生场景特性，其中申请验证作为基础，直接影响后续加密部署的有效性与安全性，需重点把控。
二、申请验证：适配云原生的高效核验
DV 通配符证书仅验证域名所有权，签发快速（10-20分钟自动审核），适配云原生快速部署需求。优先选择 DNS-01 验证方式，无需开放端口、修改网站文件，适配内网站点与多子域场景，规避 HTTP 验证的更改风险。实操中可通过 API 自动添加 TXT 记录提速，手动验证需等待解析同步（约30分钟）。注意“*.domain.com”仅覆盖一级子域，避免范围误判；且 TXT 记录需验证完成后再删除，防止验证失败。
三、部署适配：解决动态场景同步难题
部署采用“配置集成+文件挂载”方案，构建容器镜像时集成证书（完整证书链、私钥）与配置文件，映射宿主机443端口实现全域加密。Kubernetes 集群中，可将证书挂载为 Secret 资源，通过 Volume 分发至各 Pod，避免私钥暴露。规范配置要点：正确设置 server_name 为“*.domain.com”，需保护主域可额外添加条目；禁用证书共享，私钥存储目录设严格权限（如 Linux 600权限），防范未授权访问。
四、日常运维：实现可观测与风险预警
搭建证书监控体系，采集证书有效期、加密协议等指标，提前30天设置预警，异常时通过邮件、企业微信通知，避免服务中断。定期用 SSL 检测工具扫描子域，修复信任链不完整、加密算法过时（禁用 TLS 1.0/1.1）等隐患。建立私钥每6个月更换机制，更换后同步至所有节点，防范外传风险。
五、续期更新：自动化规避过期风险
通过 ACME 协议对接签发服务，实现证书自动申请、验证与更新，规避手动续期遗漏风险。Kubernetes 环境中，借助 cert-manager 等组件配置续期规则，证书剩余有效期不足30天时自动续期，更新 Secret 后 Pod 热重载加载新证书，不影响业务。非容器化服务可通过脚本结合 certbot 客户端，实现证书自动替换与服务重启，脚本需添加日志便于排查。
六、吊销回收：及时清理失效资源
子域注销、服务下线或私钥外传、证书更改时，需及时提交吊销申请，明确原因与序列号，确保指令同步至所有信任链节点。同时删除对应Secret 资源、镜像证书文件及节点配置，避免失效证书残留。建立生命周期台账，记录证书申请、有效期、部署、续期、吊销等信息，实现审计追溯与管理闭环。