实现零信任服务间通信的 mTLS 配置（双向证书校验…

在需要零信任网络、服务间加密通信或满足 PCI-DSS/HIPAA 等合规要求时，为内部服务配置双向 TLS。

适用场景

解决思路

1. 由 sidecar 代理承载 mTLS 握手：Service A 与 Service B 的代理之间依次完成 ClientHello → ServerHello + 服务端证书 → 客户端证书 → 双向校验证书 → 建立加密通道，业务容器无需自己实现 TLS。
2. 搭建三层证书层级：自签名且长有效期的 Root CA 签发集群级 Intermediate CA，再由 Intermediate CA 签发各工作负载证书（Service A、Service B）。
3. 多集群场景单独建立 Intermediate CA，用其签发跨集群证书。
4. 迁移时先把 mTLS 模式设为 PERMISSIVE，再逐步切换到 STRICT，避免一次性强制导致调用中断。
5. 为工作负载使用短期证书，有效期设为 24 小时或更短。
6. 监控证书过期时间并配置到期告警。
7. 定期轮换 CA，并提前规划好 CA 轮换流程。
8. 记录 TLS 错误日志，用于排障和安全审计。
9. 不要在生产环境为了方便而关闭 mTLS。
10. 不要忽略证书过期问题，改为自动化轮换。
11. 不要使用自签名证书，使用规范的 CA 层级签发。
12. 不要跳过证书校验，必须校验完整证书链。
13. 需要具体模板和完整演练示例时，阅读 references/details.md。
14. 调试 TLS 握手失败问题时，结合 TLS 错误日志与证书链校验结果逐层排查（Root CA → Intermediate CA → 工作负载证书）。