mtls-configuration
تكوين mTLS للشبكات ذات الثقة الصفرية
تأمين الاتصالات بين الخدمات باستخدام مصادقة TLS المتبادلة. توفر هذه المهارة قوالب جاهزة للاستخدام لـ Istio و Linkerd و SPIFFE و cert-manager لتنفيذ أمان الثقة الصفرية في بيئات Kubernetes.
تنزيل ZIP المهارة
رفع في Claude
اذهب إلى Settings → Capabilities → Skills → Upload skill
فعّل وابدأ الاستخدام
اختبرها
استخدام "mtls-configuration". فعّل mTLS الصارم لشبكة Istio الخاصة بي في مساحة الاسم للإنتاج
النتيجة المتوقعة:
- أنشأت مورد PeerAuthentication في مساحة الاسم istio-system بوضع STRICT
- طبّقت mTLS على مستوى الشبكة يتطلب مصادقة متبادلة لجميع الخدمات
- أضفت DestinationRule باستخدام وضع ISTIO_MUTUAL لإدارة الشهادات التلقائية
- ملاحظة: سيتم رفض الاتصالات الموجودة حتى تُحدّث تكوينات العملاء
- استخدم 'istioctl authn tls-check' للتحقق من حالة mTLS بعد النشر
استخدام "mtls-configuration". عيّن cert-manager لشهادات workload التلقائية مع تناوب 24 ساعة
النتيجة المتوقعة:
- أنشأت ClusterIssuer باسم 'istio-ca' لتوقيع الشهادات
- أنشأت مورد Certificate بمدة 24 ساعة و 8 ساعات كـ renewBefore
- حدّدت commonName و dnsNames لهوية الخدمة
- هيّأت استخدامات شهادات server auth و client auth
- سيتم إنشاء Secret 'my-service-tls' تلقائيًا عند إصدار Certificate
استخدام "mtls-configuration". أعدّ SPIRE لهوية workload في كتلة Kubernetes الخاصة بي
النتيجة المتوقعة:
- أنشأت ConfigMap لخادم SPIRE مع datastore sqlite3
- هيّأت attestor k8s_psat مع قائمة مسموحات حساب الخدمة demo-cluster
- هيّأت plugin UpcomingAuthority مع بيانات اعتماد تهيئة تعتمد على القرص
- أنشأت DaemonSet لوكيل SPIRE مع تحميل حجم socket
- trust domain مُهيّأ كـ 'example.org'
التدقيق الأمني
آمنThis is a pure documentation skill containing YAML templates and guidance for mTLS configuration. All 58 static findings are false positives triggered by markdown documentation patterns (backticks for inline code), file paths in example YAML configs, and algorithm names in security documentation. No executable code, network calls, file access, or command execution capabilities exist. The skill does not generate, store, or transmit any certificates or keys.
عوامل الخطر
🌐 الوصول إلى الشبكة (6)
⚙️ الأوامر الخارجية (17)
درجة الجودة
ماذا يمكنك بناءه
نشر أمان شبكة الخدمات
تكوين سياسات mTLS على مستوى الشبكة وإدارة الشهادات لكتل Kubernetes متعددة المستأجرين
تصحيح أخطاء mTLS
تشخيص وحل فشل مصافحة TLS بين الخدمات باستخدام أوامر istioctl و kubectl
تنفيذ بنية الثقة الصفرية
تصميم وتوثيق تسلسلات الشهادات ومتطلبات mTLS للتوافق مع PCI-DSS أو HIPAA
جرّب هذه الموجهات
فعّل mTLS الصارم عبر شبكة Istio الخاصة بي في مساحة الاسم للإنتاج. أنشئ موارد PeerAuthentication و DestinationRule لفرض مستوى مساحة الاسم.
عيّن cert-manager لإصدار شهادات workload لخدمات Istio الخاصة بي بمدة 24 ساعة وتجديد تلقائي قبل انتهاء الصلاحية.
أنشئ تكوينات خادم SPIRE وعميل Agent لهوية workload في بيئة Kubernetes متعددة الكتل مع example.org كـ trust domain.
لا تستطيع خدمات Istio التواصل. استخدم أوامر istioctl للتحقق من حالة المصادقة النظيرية، وقواعد الوجهة، وتصحيح أخطاء مصافحة TLS.
أفضل الممارسات
- ابدأ بوضع PERMISSIVE أثناء الترحيل، ثم انتقل إلى STRICT بعد التحقق من جميع الخدمات
- استخدم شهادات قصيرة العمر (24 ساعة أو أقل) مع تناوب تلقائي لهويات workload
- راقب انتهاء صلاحية الشهادات وأنصح بإعداد تنبيهات لمنع انقطاع الخدمة
تجنب
- تعطيل mTLS للراحة في بيئات الإنتاج
- استخدام شهادات موقعة ذاتيًا بدون تسلسل CA مناسب
- تجاهل تواريخ انتهاء الشهادات أو تخطي خطة التناوب
الأسئلة المتكررة
ما المنصات المدعومة لشبكة الخدمات؟
ما فترات صلاحية الشهادات الموصى بها؟
كيف تتكامل هذه المهارة مع الأدوات الموجودة؟
هل بيانات شهادتي آمنة؟
لماذا تفشل خدماتي بعد تفعيل mTLS؟
كيف يختلف هذا عن TLS القياسي؟
تفاصيل المطور
المؤلف
wshobsonالترخيص
MIT
المستودع
https://github.com/wshobson/agents/tree/main/plugins/cloud-infrastructure/skills/mtls-configurationمرجع
main
بنية الملفات
📄 SKILL.md