Ir directamente al contenido
Español
Contáctanos Portal del cliente
  • No hay sugerencias porque el campo de búsqueda está vacío.

Autoridad de certificación (CA)

Mediante esta guía, mostraremos cómo usar Identity Platform como autoridad de certificación intermedia o final para autenticar dispositivos mediante certificados, y cómo crear, importar y gestionar certificados de servidor y de cliente.

Requisitos:


  • Acceso al panel de Ironchip con rol de administrador
  • Conocer el uso previsto de los certificados (HTTPS, SSH, SSL o VPN IPsec)
  • Para actuar como CA intermedia: certificado y clave privada de la CA superior, o un CSR firmado por ella

Pasos a seguir:


Crear la autoridad de certificación

El primer paso es crear la CA en el panel de Ironchip. Identity Platform puede funcionar de dos formas:

  • CA final (raíz): Identity Platform firma directamente los certificados. Es la opción más sencilla para entornos cerrados.
  • CA intermedia: Identity Platform firma los certificados con una CA subordinada, cuya firma procede de la CA corporativa. Es la opción recomendada cuando ya existe una PKI.

Para ello ve a Certificates, y pulsa en New CA.

Selecciona el tipo de CA (Root CA o Intermediate CA) y completa los siguientes campos:

  • Name: Nombre identificativo de la CA.
  • Common Name: Nombre que aparecerá en el campo CN del certificado de la CA.
  • Key algorithm: RSA 4096 o ECDSA P-384. Se recomienda ECDSA P-384 para nuevas implantaciones.
  • Validity: Periodo de validez de la CA. Para una CA intermedia, no puede superar el de la CA superior.
  • Path length: Número máximo de CA subordinadas que pueden colgar de esta CA. Para una CA que solo emite certificados finales, indica 0.

Si has seleccionado Intermediate CA, pulsa en Generate CSR, descarga el archivo y fírmalo con tu CA superior. Después, vuelve a esta pantalla y pulsa en Upload signed certificate para cargar el certificado firmado junto con la cadena completa.

Por último, pulsa en Create CA. La clave privada se genera y se almacena cifrada en Identity Platform, y no puede exportarse.

Importar una CA existente

Si ya dispones de una CA y quieres que Identity Platform la utilice para emitir certificados, ve a Certificates, pulsa en Import CA y carga los siguientes archivos:

  • Certificado de la CA en formato PEM
  • Clave privada de la CA en formato PEM (con o sin contraseña)
  • Cadena de certificados hasta la raíz, si existe

Para comprobar antes de importar que la clave privada corresponde al certificado, ejecuta los siguientes comandos y verifica que las dos huellas coinciden:

openssl x509 -in ca.crt -noout -pubkey | openssl sha256  openssl pkey -in ca.key -pubout | openssl sha256

Nota: Una CA importada con su clave privada pasa a ser gestionada por Identity Platform. Si no quieres que la clave salga de tu infraestructura, utiliza el modo de CA intermedia mediante CSR.

Emitir certificados de servidor (HTTPS y SSH)

Para emitir un certificado de servidor, ve a Certificates, selecciona la CA y pulsa en New certificate. Elige el perfil correspondiente.

Perfil HTTPS: Genera un certificado con uso de clave Server Authentication. Indica el Common Name y los Subject Alternative Names (DNS o IP) del servicio. Puedes pegar un CSR propio o dejar que Identity Platform genere el par de claves.

Si prefieres generar la clave en el propio servidor, crea el CSR con el siguiente comando y pega su contenido en el panel:

openssl req -new -newkey rsa:4096 -nodes -keyout servidor.key -out servidor.csr -subj "/CN=intranet.empresa.com" -addext "subjectAltName=DNS:intranet.empresa.com"

Perfil SSH: Genera un certificado de host SSH firmado por la CA, de modo que los clientes confíen en el servidor sin tener que aceptar manualmente su huella. Pega la clave pública del servidor (por ejemplo, el contenido de /etc/ssh/ssh_host_ed25519_key.pub) e indica los hostnames válidos.

Una vez emitido, descarga el certificado y cópialo en el servidor. Después, añade las siguientes líneas a /etc/ssh/sshd_config:

HostCertificate /etc/ssh/ssh_host_ed25519_key-cert.pub

Y en los clientes, añade la CA como autoridad de confianza en ~/.ssh/known_hosts:

@cert-authority *.empresa.com <clave pública de la CA SSH>

Reinicia el servicio SSH para aplicar los cambios:

sudo systemctl restart sshd

Emitir certificados de cliente (HTTPS, SSL y VPN IPsec)

Los certificados de cliente permiten autenticar el dispositivo o al usuario frente a un servicio. Ve a Certificates, selecciona la CA y pulsa en New certificate con alguno de los siguientes perfiles:

  • Perfil Client HTTPS/SSL: Certificado con uso de clave Client Authentication, para mTLS en aplicaciones web y servicios SSL.
  • Perfil VPN IPsec: Certificado con usos de clave Client Authentication e IPsec end system, para túneles IKEv2 con certificados.

Para cada certificado de cliente, indica:

  • Subject: Usuario o dispositivo al que se asocia el certificado. Si seleccionas un usuario de Identity Platform, el certificado queda vinculado a su identidad.
  • Validity: Periodo de validez. Se recomienda un máximo de 12 meses para certificados de dispositivo.
  • Export format: PEM o PKCS#12 (.p12). En el caso de PKCS#12, define una contraseña de exportación.

Descarga el certificado e instálalo en el dispositivo. A continuación se muestra un ejemplo de configuración de un cliente IKEv2 con strongSwan:

conn ironchip-vpn     keyexchange=ikev2     left=%any     leftcert=cliente.crt     leftid=%fromcert     right=vpn.empresa.com     rightid=@vpn.empresa.com     rightsubnet=0.0.0.0/0     auto=start

El servidor VPN debe tener instalado el certificado de la CA de Identity Platform como autoridad de confianza para validar los certificados de los clientes.

Gestionar el ciclo de vida de los certificados

Desde Certificates puedes consultar todos los certificados emitidos, filtrarlos por CA, perfil, usuario o estado, y ejecutar las siguientes acciones:

  • Renew: Emite un nuevo certificado con los mismos datos y mantiene el anterior hasta su caducidad.
  • Revoke: Revoca el certificado e indica el motivo. La revocación se publica de inmediato en la CRL y en el servicio OCSP.
  • Download: Descarga el certificado o la cadena completa.
  • Export audit log: Descarga el historial de emisiones, renovaciones y revocaciones.

Para que los servicios consulten el estado de revocación, configura en ellos las siguientes URL, sustituyendo <id-ca> por el identificador de tu CA:

CRL:  https://pki.ironchip.com/crl/<id-ca>.crl  OCSP: https://pki.ironchip.com/ocsp/<id-ca>

En el apartado Alerts, define con cuántos días de antelación quieres recibir un aviso por correo de los certificados próximos a caducar.