ACME управляет выпуском и правом на имена, CSR передаёт подписанные данные запроса. Издатель проверяет согласованность обоих уровней.
PKI и жизненный цикл сертификатов
ACME (автоматическое управление сертификатами)
Определение
ACME — протокол автоматического выпуска сертификатов и управления ими через учётную запись, заказ, авторизацию, проверку и завершение заявки.
Также ищут: Automatic Certificate Management Environment · ACME · RFC 8555 · автоматическое управление сертификатами
Зачем это знать
Автоматизация должна сохранить проверки каждого имени и точного состава заказа. Успех одной проверки не разрешает дописать имя в CSR или пропустить установку сертификата на сервисе.
Связи из словаря
Карта понятия
ACME (автоматическое управление сертификатами)
Доказательная часть
Что подтверждено
Клиент ACME создаёт заказ, подтверждает права на имена, отправляет CSR для завершения и получает сертификат по адресу, указанному сервером.
Граница применимости: Процесс выпуска ACME по RFC 8555.
ACME автоматизирует шаги протокола, но CA всё равно проверяет учётную запись, права на запрошенные имена и допустимость расширений CSR.
Граница применимости: Различие между автоматизацией и правилами выпуска.
Ключ учётной записи ACME подписывает протокольные запросы этой учётной записи. Открытый ключ CSR предназначен для выпускаемого сертификата, а соответствующий закрытый ключ подписывает данные CSR. Это разные роли ключей.
Граница применимости: RFC 8555 и PKCS #10; различие ролей не превращено в утверждение, что любые две показанные ключевые строки обязательно различаются.
При завершении заказа CSR должен содержать тот же набор идентификаторов, который был запрошен в заказе. Подпись CSR с добавленным именем не расширяет согласованный набор заказа.
Граница применимости: Завершение заказа ACME по RFC 8555, раздел 7.4; дополнительно должны быть действительны необходимые авторизации.
Успешная проверка для одного имени не завершает заказ с другим неподтверждённым именем. Нужны все обязательные авторизации и допустимый CSR; полученный сертификат также нужно развернуть на сервисе.
Граница применимости: Заказ ACME с несколькими идентификаторами без иной действительной авторизации второго имени; выпуск отделён от эксплуатации материала.
Граница терминов
Не путать
ACME автоматизирует протокольные шаги выпуска, продление планирует следующий сертификат до окончания текущего. Получение файла ещё требует рабочего перехода.
Перед спецификацией
Что проверить
- Определите учётную запись и ключ её запросов.
- Отделите ключ выпускаемого сертификата.
- Зафиксируйте все идентификаторы заказа.
- Проверьте обязательные авторизации каждого имени.
- Сверьте тот же набор идентификаторов в CSR.
- Проверьте завершение выпуска и доставку.
- Не путайте подпись запроса учётной записью с подписью данных CSR.
Открытые основания
Первоисточники
- Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List Profile
Определяет Internet X.509 certificate и CRL profiles, PKI entities, extensions и certification path validation.
Утверждения: 02
- PKCS #10: Certification Request Syntax Specification Version 1.7
Определяет структуру PKCS #10 CSR и подпись request information private key заявителя.
Утверждения: 03
- Recommendation for Key Management: Part 1 — General
Определяет key-management functions, lifecycle states, cryptoperiods, protection, backup/recovery, compromise и destruction.
Утверждения: 05