Déléguer l'émission de certificats VPN sans la clé racine

Donner à quelqu'un la capacité d'enrôler des clients VPN et lui remettre une copie transportable de la clé racine sont deux actes différents, et la différence ne devient visible que lorsque cette personne part ou que cette clé fuit. Le premier accorde une opération dans un flux de travail que vous contrôlez ; le second accorde la capacité de fabriquer de la confiance n'importe où, hors ligne, indéfiniment. Décidez lequel des deux le travail exige avant de toucher au moindre matériel de clé. Un diagramme de hiérarchie ne répondra pas à cette question à votre place.

Écrivez la tâche d'enrôlement sous forme de trois questions : qui peut demander, qui approuve, et ce que le composant émetteur est autorisé à signer.

Décidez quelle capacité vous accordez

Un service émetteur peut exposer un flux d'approbation tout en gardant le matériel de signature chez un propriétaire distinct. Un opérateur approuve une demande d'appareil, le service applique la politique et enregistre l'émission, et personne parmi les intervenants ne détient la clé de CA. Documentez les identités autorisées, les approbateurs et l'étendue de ce que le service peut signer ; puis protégez son administration aussi soigneusement que la clé. Une demande de signature de certificat est une demande, pas une décision d'autorisation.

Le stockage adossé à du matériel change le risque de copie de la clé, pas le besoin d'autorisation. Non exportable signifie que la clé ne peut pas être extraite, et cela ne signifie pas que quiconque peut appeler l'interface de signature a droit à un certificat. Évaluez ces deux propriétés séparément.

Un intermédiaire borne l'autorité

Une racine peut certifier un intermédiaire pour l'émission quotidienne, de sorte que le travail courant ne touche plus la clé racine, tant que les procédures de signature et de récupération de la racine restent protégées. C'est une vraie frontière et elle n'est pas gratuite : un certificat de plus, une clé de plus, un renouvellement de plus et une liste de révocation de plus à maintenir. Utilisez-en un lorsqu'il représente une frontière délibérée de gestion ou de risque. Créer un émetteur par administrateur produit plus de tout et n'achète rien que le flux de travail n'offrait déjà.

Vérifiez que les vérificateurs VPN construisent la chaîne comme vous l'attendez. Expédier un intermédiaire pour construire la chaîne et l'installer comme ancre directement approuvée sont deux dispositions différentes.

pathLen zéro ne veut pas dire ce que vous croyez

La RFC 5280 section 4.2.1.9 définit les contraintes de base, et son champ de longueur de chemin limite le nombre de certificats intermédiaires non auto-émis qui peuvent suivre dans un chemin valide. Une valeur de zéro restreint la profondeur intermédiaire supplémentaire ; elle ne limite pas le nombre de certificats d'entité finale. Les gens le lisent comme zéro certificat autorisé puis se demandent pourquoi l'émission fonctionne encore. Lisez le champ comme une limite de profondeur pour les CA, et le comportement devient prévisible.

La même section implique qu'une ancre de confiance est une entrée de la validation de chemin plutôt qu'un certificat ordinaire à l'intérieur du chemin. C'est pourquoi publier une entrée de révocation pour une racine auto-signée ne la retire pas de façon fiable de tous les magasins.

Un départ n'est pas une compromission de clé

Lorsque le partant ne détenait rien d'autre qu'un compte de gestion personnel, révoquez cet accès et ses sessions via le processus d'identité pris en charge, puis examinez l'activité et les approbations qu'il a produites. Les certificats clients déjà émis ne deviennent pas invalides parce que leur approbateur est parti, et les traiter comme compromis crée un réenrôlement massif et inutile. Désactiver un compte ne peut pas non plus invalider une clé de signature copiée, donc la réponse dépend de la capacité détenue.

Lorsqu'un intermédiaire est compromis, son autorisation doit être retirée et chaque identité qu'il a garanti remplacée, selon la politique que le vérificateur applique. La confiance racine exige sa propre réponse, car l'ancre vit dans des magasins de confiance que vous ne contrôlez peut-être pas.

Acceptez la conception avec quatre cas concrets : un appareil éligible s'enrôle, une demande non approuvée est refusée, un opérateur révoqué ne peut plus émettre, et un émetteur retiré n'accorde plus d'accès. Ces quatre résultats sont le runbook.