Почему это важно
Файл может обновиться в хранилище секретов, но старый прокси, контейнер или балансировщик продолжит показывать прежний сертификат.
Что подтверждено
Ротация управляет переходом криптографического материала: новый материал распространяют, активируют и проверяют до удаления старого.
Граница применимости: Рабочий переход на новые ключи и сертификаты.
Продление получает новый сертификат, ротация переводит на него системы, а отзыв объявляет старый сертификат недействительным до конца срока.
Граница применимости: Три разных действия в жизненном цикле сертификата.
Что проверить
- Разверните новый материал на всех узлах.
- Проверьте реальные TLS-соединения.
- Удалите старый материал только после перехода.
Первоисточники
Recommendation for Key Management: Part 1 — General
National Institute of Standards and Technology · NIST SP 800-57 Part 1 Revision 5, May 2020
Определяет key-management functions, lifecycle states, cryptoperiods, protection, backup/recovery, compromise и destruction.
Открыть первоисточникRecommendation for Key Management: Part 2 — Best Practices for Key Management Organizations
National Institute of Standards and Technology · NIST SP 800-57 Part 2 Rev. 1, March 2019
Описывает organizational key-management practices, CA/RA roles, PKI operations и certification path building.
Открыть первоисточникInternet X.509 Public Key Infrastructure Certificate and Certificate Revocation List Profile
Internet Engineering Task Force · RFC 5280, May 2008
Определяет Internet X.509 certificate и CRL profiles, PKI entities, extensions и certification path validation.
Открыть первоисточникAutomatic Certificate Management Environment
Internet Engineering Task Force · RFC 8555, March 2019
Определяет ACME account, order, authorization, challenge, finalize, certificate download и revocation workflow.
Открыть первоисточникRFC 8446: The Transport Layer Security Protocol Version 1.3
Internet Engineering Task Force · RFC 8446, August 2018
Определяет TLS 1.3, включая encrypted channel, PSK authentication, PSK identity и PSK+(EC)DHE modes.
Открыть первоисточник