Delegue a emisión de certificados VPN sen a clave raíz

Entregar a alguén a capacidade de inscribir clientes VPN e entregarlle unha copia portátil da clave raíz son actos distintos, e a diferenza só se fai visible cando esa persoa marcha ou esa clave se filtra. O primeiro concede unha operación dentro dun fluxo de traballo que vostede controla; o segundo concede a capacidade de acuñar confianza en calquera lugar, sen conexión, indefinidamente. Decida cal dos dous necesita o traballo antes de tocar calquera material de clave. Un diagrama de xerarquía non lle responderá esa pregunta.

Escriba a tarefa de inscrición como tres preguntas: quen pode solicitar, quen aproba e que pode asinar o compoñente emisor.

Decida que capacidade está a conceder

Un servizo emisor pode expor un fluxo de aprobación e manter o material de sinatura baixo un propietario separado. Un operador aproba unha solicitude de dispositivo, o servizo aplica a política e rexistra a emisión, e ninguén involucrado posúe a clave de CA. Documente as identidades permitidas, os aprobadores e o alcance do que o servizo pode asinar; despois protexa a súa administración co mesmo coidado que a clave. Unha solicitude de sinatura de certificado é unha solicitude, non unha decisión de autorización.

O almacenamento con soporte de hardware cambia o risco de copiar a clave, non a necesidade de autorización. Non exportable significa que a clave non se pode extraer, e non significa que calquera capaz de chamar á interface de sinatura teña dereito a un certificado. Avalíe esas dúas propiedades por separado.

Un intermedio limita a autoridade

Unha raíz pode certificar un intermedio para a emisión diaria, de xeito que o traballo rutineiro xa non toca a clave raíz, sempre que os procedementos propios de sinatura e recuperación da raíz sigan protexidos. É unha fronteira real e non é gratuíta: outro certificado, outra clave, outra renovación e outra lista de revocación que manter. Use un cando represente unha fronteira deliberada de xestión ou de risco. Crear un emisor por administrador produce máis de todo e non compra nada que o fluxo de traballo xa non ofrecese.

Comprobe que os verificadores de VPN constrúen a cadea como vostede espera. Enviar un intermedio para construír a cadea e instalalo como áncora directamente confiable son disposicións distintas.

pathLen cero non significa o que vostede cre

A RFC 5280 sección 4.2.1.9 define as restricións básicas, e o seu campo de lonxitude de ruta limita cantos certificados intermedios non emitidos por si mesmos poden seguir nunha ruta válida. Un valor de cero restrinxe máis profundidade intermedia; non limita o número de certificados de entidade final. A xente leo como cero certificados permitidos e despois pregúntase por que a emisión segue funcionando. Lea o campo como un límite de profundidade para as CA, e o comportamento vólvese previsible.

A mesma sección implica que unha áncora de confianza é unha entrada á validación de ruta, non un certificado ordinario dentro da ruta. Por iso publicar unha entrada de revocación para unha raíz autosinada non a elimina de forma fiable de todos os almacéns.

A baixa non é un compromiso da clave

Cando a persoa que marcha non tiña máis que unha conta persoal de xestión, revogue ese acceso e as súas sesións mediante o proceso de identidade compatible, e despois revise a actividade e as aprobacións que produciu. Os certificados de cliente emitidos antes non se volven inválidos porque o seu aprobador marchase, e tratalos como comprometidos crea unha reinscrición grande e innecesaria. Desactivar unha conta tampouco pode invalidar unha clave de sinatura copiada, así que a resposta depende de que capacidade se posuía.

Cando un intermedio queda comprometido, hai que retirar a súa autorización e substituír cada identidade que avalou, seguindo a política que aplique o verificador. A confianza da raíz necesita a súa propia resposta, porque a áncora vive en almacéns de confianza que quizais non controle.

Acepte o deseño con catro casos concretos: un dispositivo elixible inscri¾se, unha solicitude non aprobada rexéitase, un operador retirado xa non pode emitir e un emisor retirado xa non concede acceso. Eses catro resultados son o runbook.