证书轮换

【背景】 我负责一套生产 etcd 集群（v3.5.6，3 节点，跨 2 可用区），承载 K8s 1.28 的 etcd 后端 + 自研 2 个 Go 服务（直连 etcd 做配置中心）。当前 TLS 配置： - etcd server："

【背景】 我在给一套内部服务做安全加固，目标是"证书 90 天强制轮换 + 轮换期间业务无感"。栈是 Go 1.22 + gRPC，跑在 3 节点自建 K8s 1.28，没有 Istio，mTLS 由应用层自己用 crypto/tls 的

【背景】 我维护一套内部 API 网关：Java 8 + Netty 4.1.x，3 副本跑在 3 节点自建 K8s 1.26，没有 Istio / sidecar，mTLS 由网关自己用 SslContextBuilder 做。上游客户端

【背景】 我们在 K8s 1.27 + Istio 1.20（ambient/waypoint 未启用，走 sidecar 模式）里给一批内部服务开了 STRICT mTLS，服务间走 gRPC。目标是"证书到期自动轮换、业务无感知"。CA

【背景】 我负责 12 个微服务（Go + gRPC，跑在 3 节点自建 K8s 1.28，无云），服务间通信走 mTLS：CA 自签，每服务一对 RSA-2048 证书（CN=服务名），客户端与 sidecar 各自校验对端。安全基线要求