Creación de una autoridad de certificación
Utilice el servicio Certificates para crear una autoridad de certificación (CA) raíz o una autoridad de certificación subordinada.
Ya debe tener una autoridad de certificación raíz para crear una autoridad de certificación subordinada.
Debe tener el nivel adecuado de acceso de seguridad para crear una autoridad de certificación. Para obtener más información, consulte Política de IAM necesaria.
Para crear una autoridad de certificado, debe tener acceso a una clave de cifrado asimétrica y protegida por hardware existente desde el servicio Oracle Cloud Infrastructure (OCI) Vault. Para obtener más información, consulte Visión general de Vault.
Al crear una administración de certificados con una lista para revocar certificados (CRL), puede especificar un cubo de OCI Object Storage en el que desee almacenar la CRL. El cubo ya debe existir en el momento de crear la Autoridad de Certificación. El cubo también debe ser un cubo dedicado que no Se utilice para ningún otro propósito o para almacenar la CRL de cualquier otra autoridad de certificación
En la página de lista Certificate Authorities (Autoridades de certificación), seleccione Create certificate authority (Crear autoridad de certificación). Si necesita ayuda para buscar la página de lista o la autoridad de certificación, consulte Listing Certificate Authorities. Se abre el panel Crear autoridad de certificación.
La creación de una autoridad de certificación consta de las siguientes páginas:
- Información Básica
- Información del sujeto
- Configuración de autoridad
- Reglas
- Configuración de revocación
- Resumen
Ejecute cada uno de los siguientes flujos de trabajo en orden. Para volver a una página anterior, seleccione Anterior.
Información Básica
Introduzca la siguiente información:
- Nombre: introduzca el nombre del certificado. Ninguna autoridad de certificación del arrendamiento puede compartir el mismo nombre, incluidas las autoridades de certificación pendientes de supresión.
- Descripción: (opcional) introduzca una descripción para la autoridad de certificación.
- Compartimento: seleccione el compartimento en el que reside la autoridad de certificación de la lista.
- Tipo de autoridad de certificado: seleccione una de las siguientes opciones:
- Autoridad de certificación raíz: crea una autoridad de certificación (autoridad de certificación) que emite certificados digitales y gestiona su revocación. Una autoridad de certificación normalmente contiene otras autoridades de certificación con relaciones padre-hijo definidas entre ellas. La autoridad de certificación en la parte superior de una jerarquía se conoce como autoridad de certificación raíz.
- Autoridad de certificación subordinada: crea una autoridad de certificación subordinada que es una entidad intermedia dentro de una jerarquía de otras entidades que emiten certificados digitales.
- Autoridad de certificación subordinada: CA externa emitida, gestionada internamente: crea una autoridad de certificación subordinada que emite la autoridad de certificación raíz externa, pero que se gestiona internamente (claves almacenadas) en el módulo de seguridad de hardware (HSM) de OCI. Cree una solicitud de firma de certificado aquí y complete la emisión a través de su autoridad de certificación externa.
Etiquetado
Si tiene permisos para crear un recurso, también tiene permisos para aplicar etiquetas de formato libre a dicho recurso. Para aplicar una etiqueta definida, debe tener permisos para utilizar el espacio de nombres de la etiqueta. Para obtener más información sobre el etiquetado, consulte Etiquetas de recursos. Si no está seguro de si desea aplicar etiquetas, omita esta opción o pregunte a un administrador. Puede aplicar etiquetas más tarde.
Seleccione Next (Siguiente).
Información del sujeto
La página Información de sujeto incluye al menos un nombre común para identificar al titular del certificado de autoridad de certificación. Según el uso previsto del certificado, el sujeto puede identificar a una persona, a una organización o a un punto final de la computadora. El formato de la información de sujeto debe cumplir con los estándares RFC 5280. Puede utilizar comodines para emitir un certificado para varios nombres de dominio o subdominio.
Introduzca la siguiente información:
- Nombre común: introduzca un nombre común.
Campos adicionales
Introduzca la información solicitada, como el nombre, la dirección y la información organizativa de la materia. Para obtener detalles sobre cada uno de los valores de un nombre distintivo de asunto, consulte RFC 5280.
Seleccione Next (Siguiente).
Configuración de autoridad
Introduzca la siguiente información:
- Compartimento de autoridad de certificación de emisor: (solo autoridad de certificación subordinada) seleccione el compartimento que contiene la autoridad de certificación principal que desea emitir la autoridad de certificación subordinada que está creando.
- Autoridad de certificación de emisor: (solo autoridad de certificación subordinada) seleccione la autoridad de certificación subordinada que desee. Las autoridades de certificación subordinadas que se muestran son las contenidas en el compartimento de autoridad de certificación del emisor que ha seleccionado. Si ha seleccionado el tipo de CA Autoridad de certificación subordinada: CA externa emitida, gestionada internamente, asegúrese de seleccionar la raíz externa como principal RootCA.
- No válido antes de: introduzca la fecha (mm/dd/yyyy) o utilice la herramienta de calendario para especificar antes de qué autoridad de certificación no se puede utilizar para validar la identidad de su portador. Si no especifica una fecha, el periodo de validez de la autoridad de certificación comienza inmediatamente.
- Hora: introduzca la hora (hh:mm) en UTC para el día en que especificó que la autoridad de certificación no es válida antes.
- No válido después de: introduzca la fecha (mm/dd/yyyy) o utilice la herramienta de calendario para especificar después de la cual la autoridad de certificación ya no es una prueba válida de la identidad de su portador. Debe especificar una fecha al menos un día posterior a la fecha de inicio del período de validez. La fecha no debe superar la caducidad de la entidad emisora de certificación.
No se puede especificar una fecha posterior a 31 de diciembre de 2037. Normalmente, las autoridades de certificación se utilizan para todo el período de validez, a menos que suceda algún que requiera revocación. El valor por defecto es tres meses después de la creación de la autoridad de certificación.
- Hora: introduzca la hora (hh:mm) en UTC para el día en que especificó que la autoridad de certificación no es válida después.
- Almacén en compartimento: seleccione el compartimento que contiene el almacén que contiene la clave de cifrado que desea utilizar para el certificado de autoridad de certificación.
- Almacén de entrada: seleccione el almacén que contiene la clave de cifrado que desea utilizar para el certificado de autoridad de certificación. Los almacenes mostrados son los que contiene el compartimento de almacén que ha seleccionado.
- Clave en compartimento: seleccione el compartimento que contiene la clave de cifrado en el almacén que desea utilizar para el certificado de autoridad de certificación.
- Clave de entrada: seleccione la clave que desea utilizar. La lista incluye solo las claves asimétricas en el almacén porque Certificates solo soporta claves asimétricas. Puede seleccionar entre las claves Rivest-Shamir-Adleman (RSA) que tienen 2.048 bits o 4.096 bits.
También puede seleccionar entre las claves eliptic curvas criptografía algoritmo firma digital (ECDSA) que tienen un ID de curva elíptico de NIST_P384. En la lista se incluyen solo estos tipos de claves asimétricas que están protegidas por un módulo del hardware de seguridad (HSM). Los certificados no soportan el uso de claves protegidas por software. Para obtener información acerca de la creación y gestión de claves, consulte Managing Keys.
- Algoritmo de firma: seleccione una de las siguientes opciones, según la familia de algoritmos clave:
- SHA256_WITH_RSA: clave RSA con una función hash SHA-256.
- SHA384_WITH_RSA: clave RSA con una función hash SHA-384.
- SHA512_WITH_RSA: clave RSA con una función hash SHA-512.
- SHA256_WITH_ECDSA: clave ECDSA con una función hash SHA-256.
- SHA384_WITH_ECDSA: clave ECDSA con una función hash SHA-384.
- SHA512_WITH_ECDSA: clave ECDSA con una función hash SHA-512.
Seleccione Next (Siguiente).
Reglas
La página Reglas es donde se configuran las reglas para aplicar restricciones a esta autoridad de certificación y a los recursos que emite desde ella.
Regla de caducidad
Puede especificar la cantidad máxima de tiempo que un certificado o una autoridad de certificación subordinada emitida por este certificado es válida. Los cambios solo se aplican a nuevos certificados y nueva autoridad de certificación subordinada que emita después de realizar los cambios.
Active la regla de caducidad para configurar los siguientes valores:
- Duración de validez máxima de cualquier certificado (días): especifique la cantidad máxima de tiempo que cualquier certificado emitido por esta autoridad de certificación puede ser válido.
- Duración alta de validez para la CA subordinada (días): especifique el número máximo de días que una CA emitida por esta CA puede ser válida para emitir otras autoridades de certificación o certificados. El valor recomendado es de 1095 días (3 años).
Regla de emisión
Puede especificar reglas de emisión para aplicar determinadas condiciones relacionadas con los recursos que emite esta autoridad de certificación. Una restricción de longitud de ruta restringe cuántas autoridades de certificación subordinadas puede tener una autoridad de certificación. Una restricción de nombre en los nombres de asunto del certificado especifica espacios de nombres permitidos para los formularios de nombres jerárquicos en los certificados que emite cualquier autoridad de certificación en esta cadena de certificados. Las reglas de emisión no se pueden actualizar más tarde.
Active la regla de emisión para configurar los siguientes valores:
- Restricción de longitud de ruta: seleccione la longitud máxima (de 0 a 10) para las autoridades de certificación subordinadas.
- Subárboles excluidos: especifique el tipo y el valor para bloquear determinados espacios de nombres. Seleccione Agregar subárbol excluido para crear otra entrada.
- Subárboles permitidos: especifique el tipo y el valor para permitir determinados espacios de nombres. Seleccione Agregar subárbol permitido para crear otra entrada.
Seleccione Next (Siguiente).
Configuración de revocación
La página Revocation Configuration es donde puede configurar una ubicación para publicar una lista de revocación de certificados (CRL). Una CRL especifica las versiones de una autoridad de certificación o certificado que ya no se consideran fiables ni inválidas antes de que finalice su período de validez. Puede almacenar una CRL en un cubo de Object Storage o especificar una URL con formato personalizado como punto de distribución de CRL. La configuración de revocación se puede actualizar en cualquier momento.
Active Revocation para configurar los siguientes valores:
- Compartimento de cubo de almacenamiento de objetos: seleccione el compartimento que contiene el cubo de almacenamiento de objetos donde puede almacenar una CRL.
- Cubo de Object Storage: seleccione el cubo de Object Storage que desea. Los cubos que aparecen son los contenidos en el compartimento que ha seleccionado.
- Formato de Nombre de Objeto: especifique el nombre del objeto. Puede incluir llaves en el nombre del objeto para indicar dónde puede insertar el servicio el número del versión de la autoridad de certificado que emite. Esta adición ayuda a evitar la sobrescritura de una CRL existente cada vez que crea otra versión de autoridad de certificación. Para obtener más información sobre los nombres de objetos, consulte Nombres de objetos.
Personalizar URL con formato
Introduzca la URL que quiere utilizar con las API para acceder al objeto. Esta URL se nombra en certificados como punto de distribución de CRL (CDP). Puede incluir llaves en la URL para indicar dónde puede insertar el servicio el número a la versión de la autoridad de certificado que emite. Esta adición ayuda a evitar sobrescribir una CDP existente cada vez que crea otra versión de autoridad de certificación. Puede especificar una URL de HTTPS solo si no hay dependencias circulares en la verificación de la cadena HTTPS.
Para proporcionar otra CDP, seleccione + Otra URL y, a continuación, proporcione otra URL donde los usuarios puedan acceder a la CRL.
Seleccione Next (Siguiente).
Resumen
Revise el contenido de la página Resumen. Seleccione Editar para agregar o cambiar información en la página asociada. Cuando la configuración esté completamente verificada, seleccione Crear autoridad de certificación.
La autoridad de certificación que creó aparece en la página de lista Certificate Authorities (Autoridades de certificación).
El comando que utilice depende de si desea crear una autoridad de certificado raíz o una autoridad de certificado subordinada.
Utilice el comando oci certs-mgmt certificate-authority create-root-ca-by-generating-config-details y los parámetros necesarios para crear una autoridad de certificación raíz:
oci certs-mgmt certificate-authority create-root-ca-by-generating-config-details --compartment-id <compartment_OCID> --name <CA_display_name> --subject <certificate_subject_information> --kms-key-id <Vault_encryption_key_OCID> [OPTIONS]Por ejemplo:
oci certs-mgmt certificate-authority create-root-ca-by-generating-config-details --compartment-id ocid1.compartment.oc1..<unique_id> --name myNewCA --subject file://path/to/casubject.json --kms-key-id ocid1.key.oc1.<region>.<unique_ID>Para crear una autoridad de certificación subordinada, utilice el comando oci certs-mgmt certificate-authority create-subordinate-ca-issued-by-internal-ca y los parámetros necesarios:
oci certs-mgmt certificate-authority create-subordinate-ca-issued-by-internal-ca --compartment-id <compartment_OCID> --issuer-certificate-authority-id <parent_CA_OCID> --name <CA_display_name> --subject <certificate_subject_information> --kms-key-id <Vault_encryption_key_OCID> [OPTIONS]Por ejemplo:
oci certs-mgmt certificate-authority create-subordinate-ca-issued-by-internal-ca --compartment-id ocid1.compartment.oc1..<unique_id> --issuer-certificate-authority-id ocid1.certificateauthority.oc1.<region>.<unique_ID> --name mySubCA --subject file://path/to/casubject.json --kms-key-id ocid1.key.oc1.<region>.<unique_id>Para obtener una lista completa de parámetros y valores para los comandos de la CLI, consulte la Referencia de comandos de la CLI.
Ejecute la operación CreateCertificateAuthority para crear una autoridad de certificación.