CAaaS

CAaaS (Certificate Authority as a Service) — сервис управления цифровыми сертификатами и собственной инфраструктурой открытых ключей (PKI) в облаке Moncloud. Он позволяет добавлять центры сертификации (CA), выпускать промежуточные сертификаты (ICA) и конечные сертификаты (Leaf), управлять сроками их действия, скачиванием, отзывом и удалением. Также предусмотрено создание серверов сертификации для автоматизированного выпуска сертификатов.

Доступ к интерфейсу осуществляется через боковое меню: NFV → CAaaS.

Важно

• Для работы необходима лицензия CAaaS. Доступность CAaaS определяется лицензиями и конфигурацией облака.

Структура сертификатов

В CAaaS используются три вида сертификатов:

• CA (Certificate Authority) — сертификат удостоверяющего центра, который является верхним уровнем создаваемой иерархии. При его добавлении пользователь предоставляет готовый PEM-сертификат и соответствующий приватный ключ.

• ICA (Intermediate Certificate Authority) — промежуточный сертификат удостоверяющего центра, создаваемый на основе CA. Может использоваться для выпуска других сертификатов.

• Leaf — конечный сертификат для сервера или другого ресурса. При выпуске задаются срок действия, DNS-имена и/или IP-адреса, для которых сертификат должен использоваться.

На странице CAaaS отображается список CA. После открытия конкретного CA доступны вложенные сертификаты ICA и Leaf; на странице ICA — его сертификаты Leaf и серверы сертификации.

Важно

• Доступные действия зависят от прав пользователя, проекта и настроек общего доступа к сертификатам.

• Приватные ключи относятся к конфиденциальным данным. Не размещайте их в общедоступных файлах, сообщениях и репозиториях.

• Отзыв сертификата и его удаление — разные действия. Отзыв изменяет статус сертификата, а удаление удаляет запись о нём из управления CAaaS. Результат отзыва или удаления для установленных у клиентов сертификатов зависит от выполняемой ими проверки цепочки сертификатов и статуса.

Доступ из проектов и режим администратора

В обычном режиме операции выполняются в контексте доступного пользователю проекта. В режиме администратора при создании CA, ICA и Leaf дополнительно отображаются поля выбора проекта и Общие проекты.

• Проект — проект, которому принадлежит создаваемый сертификат.

• Общие проекты — другие проекты, которым предоставляется доступ к данному сертификату.

Доступ из общих проектов предоставляется в режиме read-only: сертификаты можно просматривать и использовать для создания дочерних сертификатов, однако редактировать, отзывать или удалять общий сертификат нельзя. Возможность выпуска нового сертификата на основе доступного общего центра сертификации не означает права изменять сам сертификат этого центра. Операции с выпущенным дочерним сертификатом определяются его принадлежностью проекту и полномочиями пользователя.

Важно

Общие проекты не передают другим проектам права управления исходным CA или ICA. Для изменения параметров, отзыва и удаления сертификата нужны права на исходный ресурс.

Управление CA-сертификатами

CA — основа инфраструктуры сертификации. В отличие от ICA и Leaf, в форме добавления CA указываются готовый сертификат и приватный ключ, а не параметры выпуска нового сертификата.

Создание CA-сертификата:

1. Перейти в раздел NFV → CAaaS.

2. На вкладке CA нажать Создать CA сертификат.

3. Заполнить форму:

   • Имя — имя записи CA в облаке.

   • Описание — необязательное описание.

   • PEM Сертификата — сертификат CA в кодировке PEM.

   • PEM Личного ключа — соответствующий сертификату приватный ключ в кодировке PEM.

   • Проект — проект-владелец сертификата; в административном режиме его можно выбрать в форме.

   • Общие проекты — проекты, которым предоставляется общий доступ к сертификату (для режима администратора).

4. Содержимое сертификата и ключа можно вставить в поля или загрузить с помощью кнопок Загрузить из локальных файлов.

5. Нажать ОК.

Создание CA в режиме администратора:

Администратор выбирает Проект, которому будет принадлежать CA, и при необходимости указывает Общие проекты. Последнее поле задаёт доступ к сертификату для других проектов, но не права на изменение и удаление общего ресурса.

Важно

• Сертификат CA и приватный ключ должны соответствовать друг другу.

• Ввод приватного ключа необходим для последующего выпуска сертификатов, подписываемых данным CA. Храните исходный ключ в защищённом месте.

Просмотр CA-сертификата:

В общем списке CA отображаются имя, дата создания, признаки Отозван и Истек, дата окончания срока действия и описание. Для просмотра детальной информации нажмите на имя CA.

В деталях сертификата можно посмотреть его владельца, проект, срок действия, общие проекты, серийный номер, PEM-сертификат, дату истечения срока действия и сведения об отзыве. Для копирования публичного сертификата служит действие Копировать в поле PEM Сертификата.

Редактирование CA-сертификата:

1. Открыть меню CA (три точки) и выбрать Редактировать.

2. Изменить Имя и/или Описание.

3. Нажать ОК.

Действия с CA:

В меню карточки доступны Редактировать, Скачать, Отозвать и Удалить (при наличии соответствующих прав).

Скачивание CA-сертификата:

1. В меню CA выбрать Скачать.

2. Подтвердить скачивание сертификата.

Скачивание сертификата не следует путать с получением приватного ключа CA.

Отзыв CA-сертификата:

1. Выбрать CA в списке и нажать Отозвать либо выбрать аналогичный пункт в меню карточки.

2. В окне подтверждения проверить выбранный сертификат.

3. Нажать Подтвердить.

Удаление CA-сертификата:

1. В общем списке выбрать CA и нажать Удалить либо открыть соответствующий пункт в меню.

2. В диалоговом окне подтвердить удаление.

Важно

Перед отзывом или удалением CA проверьте используемые промежуточные и конечные сертификаты. Сертификаты, уже установленные у внешних клиентов, не исчезают автоматически; результат отзыва или удаления для таких клиентов зависит от выполняемой ими проверки цепочки сертификатов и статуса.

Управление промежуточными сертификатами (ICA)

Промежуточный сертификат ICA выпускается от имени выбранного CA и может применяться в качестве удостоверяющего центра для дочерних сертификатов. Это позволяет отделить использование CA от повседневного выпуска Leaf-сертификатов.

Создание ICA-сертификата:

1. В разделе NFV → CAaaS открыть нужный CA, нажав на его имя.

2. Перейти на вкладку ICA.

3. Нажать Создать ICA сертификат.

4. Заполнить форму:

   • Сертификат CA — родительский CA, указанный в форме.

   • Проект — проект, в контексте которого создаётся ICA.

   • Имя — имя промежуточного сертификата.

   • Описание — необязательное описание.

   • Срок действия (дни) — срок действия выпускаемого ICA.

   • Общие проекты — проекты с доступом к сертификату; доступно в режиме администратора.

5. Нажать ОК.

6. Сразу сохраните скачанный приватный ключ ICA.

Создание ICA в режиме администратора:

В административной форме можно выбрать Проект для нового ICA и настроить Общие проекты. Эти поля относятся к создаваемому сертификату, а не изменяют владельца исходного CA.

Важно

После создания ICA интерфейс предоставляет его приватный ключ для скачивания. Сохраните ключ сразу: повторно получить его через CAaaS будет невозможно.

Просмотр ICA-сертификата:

Для просмотра детальных сведений выберите ICA в списке дочерних сертификатов. В карточке доступны имя, проект, серийный номер, срок действия, сведения об отзыве, PEM-сертификат и количество дочерних сертификатов. Внутри ICA имеются вкладки Leaf и Сервер.

Редактирование ICA-сертификата:

1. На вкладке ICA открыть меню сертификата (три точки).

2. Выбрать Редактировать.

3. Изменить Имя и/или Описание.

4. Нажать ОК.

Меню действий ICA содержит Редактировать, Скачать, Отозвать и Удалить.

Скачивание ICA:

1. В меню ICA выбрать Скачать.

2. Подтвердить действие.

Отзыв ICA:

1. Выбрать ICA и нажать Отозвать.

2. В диалоговом окне подтвердить отзыв.

Удаление ICA:

1. Выбрать ICA и нажать Удалить.

2. В диалоговом окне подтвердить удаление.

Важно

Перед отзывом или удалением ICA проверьте сертификаты Leaf, выпущенные на его основе, а также работающие сервисы, использующие этот ICA. Отзыв промежуточного сертификата не равнозначен физическому удалению всех выданных им сертификатов. Проверка их действительности зависит от механизмов проверки сертификатов у клиентов.

Управление конечными сертификатами (Leaf)

Leaf — конечный сертификат для конкретного сервиса, доменного имени или IP-адреса. Leaf можно выпускать в рамках выбранного CA или ICA: в соответствующей странице используется вкладка Leaf.

Создание Leaf-сертификата:

1. Открыть нужный CA или ICA.

2. Перейти на вкладку Leaf.

3. Нажать Создать Leaf сертификат.

4. Заполнить форму:

   • Сертификат CA — родительский удостоверяющий центр, указанный в форме.

   • Проект — проект, которому принадлежит новый сертификат.

   • Имя — имя сертификата Leaf.

   • Описание — необязательное описание.

   • Срок действия (дни) — запрашиваемый срок действия.

   • Имена DNS — доменные имена для сертификата (SAN), например test.example.com. При необходимости добавить несколько имён.

   • Адреса IP — IPv4- или IPv6-адреса, которые должны входить в сертификат. При необходимости добавить несколько адресов.

   • Общие проекты — проекты с доступом к сертификату (в административном режиме).

5. Нажать ОК.

6. После создания скачать и сохранить приватный ключ Leaf.

Создание Leaf в режиме администратора:

Администратор может выбрать проект-владелец в поле Проект и указать Общие проекты для нового Leaf-сертификата.

Важно

• После создания Leaf доступна однократная выдача приватного ключа. Повторно скачать приватный ключ через интерфейс невозможно. Сохраните его вместе с сертификатом в защищённом хранилище.

• DNS-имена и IP-адреса следует указывать в соответствии с тем, по каким адресам клиенты будут обращаться к сервису.

• Возможность создания дочернего Leaf на основе общего CA или ICA не предоставляет права изменять или удалять сертификат родительского удостоверяющего центра.

Просмотр Leaf-сертификатов:

На вкладке Leaf отображаются имя, дата создания, признаки Отозван и Истек, дата окончания срока действия, список DNS-имён и IP-адресов, описание. Для удобства можно использовать фильтрацию и сортировку.

Пример отображения сертификата Leaf, созданного внутри ICA:

Меню действий сертификата Leaf доступно также на странице ICA.

Редактирование Leaf-сертификата:

1. В меню нужного Leaf (три точки) выбрать Редактировать.

2. Изменить Имя и/или Описание.

3. Нажать ОК.

Для Leaf доступны действия Редактировать, Скачать, Отозвать и Удалить.

Скачивание Leaf-сертификата:

1. В меню сертификата выбрать Скачать.

2. Подтвердить действие.

Отзыв Leaf-сертификата:

1. Выбрать Leaf в списке и нажать Отозвать.

2. Подтвердить действие.

Удаление Leaf-сертификата:

1. Выбрать Leaf и нажать Удалить.

2. Подтвердить удаление.

Примечание

Действие Скачать позволяет получить сертификат, но не восстанавливает приватный ключ, который был показан при выпуске. Отзыв также не удаляет сертификат с устройств, где он ранее был установлен.

Управление серверами сертификации

На странице ICA доступна вкладка Сервер, предназначенная для управления серверами сертификации. Такие серверы используются для автоматизации получения сертификатов по протоколу ACME. В интерфейсе сервер привязывается к выбранному ICA и проекту.

Примечание

Сервер ACME доступен в подключённых к нему сетях по протоколу HTTPS на порту 443. Для соединения используется TLS (SSL). Сертификат самого ACME-сервера нередко является самоподписанным или подписан внутренним центром сертификации, которому клиент пока не доверяет. Поэтому при первоначальном подключении, например для получения сертификата сервера или сертификата CA, может потребоваться временно отключить проверку TLS-сертификата на клиенте. После настройки доверия к сертификату сервера проверку следует включить обратно.

Создание сервера сертификации:

1. Открыть страницу нужного ICA.

2. Перейти на вкладку Сервер.

3. Нажать кнопку создания сервера сертификации.

4. Заполнить поля:

   • Проект — проект создаваемого сервера, указанный в форме.

   • Имя — имя сервера сертификации.

   • Описание — необязательное описание.

5. Нажать ОК.

Просмотр сервера сертификации:

В списке отображаются имя, проект, статус запуска, дата создания, сети и описание. Нажатие на имя открывает страницу с подробными данными, включая проект, связанный сервер и перечень сетей.

Редактирование сервера сертификации:

1. Открыть меню нужного сервера и нажать Редактировать либо нажать кнопку Редактировать на странице его деталей.

2. В форме изменить Имя, Описание и/или поле Сети. Выбранные сети определяют, откуда будет доступен ACME-сервер.

3. Для выбора сетей использовать вкладки Сети текущего проекта, Общие сети и Все сети.

4. Нажать ОК.

Важно

Добавление сети в поле «Сети» создаёт сетевой порт ACME-сервера в этой сети. Через созданный порт сервер становится доступен клиентам соответствующей сети по HTTPS на порту 443. Таким образом, выбор сетей не просто указывает список разрешённых сетей, а подключает к ним сервер на сетевом уровне.

Для сервера сертификации доступны действия Редактировать и Удалить.

Удаление сервера сертификации:

1. Открыть его карточку в списке на вкладке Сервер.

2. Выбрать Удалить.

3. В окне подтверждения нажать Подтвердить.

Важно

• Перед удалением сервера сертификации проверьте, не используется ли он клиентами для автоматического выпуска или обновления сертификатов.

• Изменение списка подключённых сетей изменяет сетевую доступность ACME-сервера. Проверяйте, что необходимые клиенты имеют доступ к его порту 443 через свои сети.

• Конкретные адреса ACME, способы проверки владения именами и настройки клиентов зависят от конфигурации сервиса; на приведённых экранах эти параметры не показаны.

Особенности управления сертификатами

Статус сертификата

Для CA, ICA и Leaf отображаются признаки Отозван и Истек, а также дата завершения срока действия. Отсутствие признака истечения срока не означает, что сертификат автоматически будет доверенным на любом клиентском устройстве: клиент должен доверять соответствующей цепочке удостоверяющих центров.

Общий доступ между проектами

В режиме администратора поле Общие проекты позволяет предоставить другим проектам доступ к сертификатам без передачи прав их владельца. Пользователь такого проекта может читать общий сертификат и создавать на его основе дочерние сертификаты, но не может изменять, отзывать или удалять исходный общий сертификат.

Использование сертификатов с L7-балансировкой

CAaaS может использоваться при автоматическом внутреннем выпуске TLS-сертификатов для L7-балансировки. В этом случае выпуск выполняется средствами внутреннего центра сертификации облака, а не через Let’s Encrypt. Для доверия таким сертификатам на клиентских устройствах должна быть настроена соответствующая цепочка доверия.

Важно

Отзыв сертификата не означает, что все клиенты мгновенно перестанут его принимать. Применение отзыва зависит от того, проверяет ли клиент сведения об отзыве, и от доступности соответствующей информации. Это особенно важно при отзыве CA и ICA, от которых зависят дочерние сертификаты.