Nebula ka nevojë për tri skedarë: CA, certifikata e hostit dhe çelësi i hostit

Nëse i jepni dikujt një drejtori Nebula, ai zakonisht kopjon gjithçka, përfshirë skedarin që nuk duhet të largohet kurrë nga stacioni juaj i punës. Konfuzioni është i kuptueshëm, sepse tri skedarët në bllokun PKI të një hosti duken njësoj dhe dy prej tyre janë certifikata. Secili përgjigjet një pyetjeje tjetër, dhe vetëm dy prej tyre i takojnë nyjes. Renditini sipas rolit përpara se të kopjoni çdo gjë.

Tri skedarë, tri punë të ndryshme

Certifikata CA është spiranca e besimit: i thotë një hosti cilat autoritete të besojë kur një host tjetër paraqet identitetin e tij. Certifikata e hostit është kredenciali i vetë nyjes, i nënshkruar nga ai autoritet. Çelësi i hostit është gjysma private përkatëse dhe i takon saktësisht një makine. Një nyje me certifikatën CA dhe çiftin e vet mund t'i bashkohet overlay-it dhe të provojë kush është. Një nyje me çelësin e dikujt tjetër mund të hiqet edhe si ai person, dhe ky është dështimi që kjo skemë ekziston për të parandaluar.

Kopjimi i një drejtorie hosti funksionale në një makinë të dytë nuk është pra një shkurtore. Është një identitet i dyfishuar me një rezultat të parashikueshëm.

Çelësi i nënshkrimit nuk udhëton kurrë

Çelësi i nënshkrimit të CA nuk është pjesë e asnjë konfigurimi hosti. Ai krijon identitete të reja, dhe kushdo që e mban mund të lëshojë një certifikatë për çdo adresë overlay dhe çdo grup. Kolegët kanë nevojë vetëm për certifikatën publike CA për të verifikuar nënshkrimet, prandaj gjysma private nuk ka fare rol në një klient. Mbajeni në makinën ku lëshohen certifikatat dhe trajtoni një kopje aksidentale si incident, jo si lehtësim.

Nëse disa njerëz duhet të lëshojnë certifikata, jepuni një proces në vend të një kopjeje të çelësit. Një çelës nënshkrimi i përbashkët në një laptop është një autoritet që askush nuk mund ta auditojë ose revokojë.

Çfarë ka brenda një certifikate hosti

Një certifikatë hosti lidh me një çelës më shumë sesa një emër skedari. Ajo mban adresën overlay të nyjes, emrin dhe anëtarësimin në grup, të gjitha të nënshkruara që një koleg të vendosë nëse do ta pranojë. Kjo është arsyeja pse riemërtimi i një hosti do të thotë lëshim i një certifikate të re, jo redaktim i një rreshti konfigurimi.

nebula-cert print -path host.crt tregon çfarë u lëshua në të vërtetë. Lexojeni përpara se të supozoni se certifikata mban adresën që kishit ndërmend.

Ringarkimi nuk mjafton gjithmonë

Disa cilësime PKI ringarkohen me një sinjal, të tjerat jo. Një certifikatë adresa overlay e së cilës ka ndryshuar është rasti klasik që kërkon rinisje të procesit në vend të ringarkimit.

Verifikoni cilat shtigje ka hapur vërtet procesi që po ekzekutohet, jo vetëm cilat shtigje përmend skedari i konfigurimit. Pastaj ndryshoni një kredencial, verifikoni lidhjen dhe regjistrat, dhe vetëm atëherë kaloni te tjetri. Një ringarkim që duket i suksesshëm ndërsa certifikata e vjetër mbetet në memorie prodhon një mospërputhje që duket si problem rrugëtimi. Rinisja është e lirë; korrigjimi i një identiteti që gjysma e overlay-it ende e sheh në mënyrën e vjetër nuk është.

Heqja e një identiteti kërkon një listë bllokimi

Zëvendësimi i një kredenciali të humbur ose të ekspozuar ka dy gjysma. Certifikata e re rikthen aksesin, dhe identiteti i vjetër duhet të ndalojë së pranuari. Këto janë operacione të ndara, dhe kryerja vetëm e të parit e lë kredencialin e komprometuar të vlefshëm.

Lista e bllokimit është një skedar që ju shpërndani te hostet, jo diçka që një lighthouse dërgon vetë. Planifikoni se si arrin në çdo nyje, duke përfshirë ato që janë offline sot, dhe regjistroni cilat gjurmë gishtash bllokuat. Rrotulloni çelësin në makinën lëshuese dhe mbani detajet e certifikatës së re me regjistrin e hostit. Një revokim që ekziston vetëm në makinën që redaktuat nuk është revokim.