Schritt 1: Temporäre Zertifizierungsstelle mit interner Signatur erstellen

Das folgende Beispiel zeigt eine Abfrage, mit der Sie eine temporäre Zertifizierungsstelle mit interner Signatur erstellen können. Setzen Sie im Anforderungshauptteil den Wert des Attributs signing_method auf internal. Verwenden Sie das Attribut issuer, um die übergeordnete Zertifizierungsstelle anzugeben.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
  "config_type": "private_cert_configuration_intermediate_ca",
  "name": "example-intermediate-CA",
  "common_name": "example.com",
  "crl_disable": false,
  "crl_distribution_points_encoded": true,
  "crl_expiry": "72h",
  "issuer": "example-root-CA",
  "issuing_certificates_urls_encoded": true,
  "max_ttl": "26300h",
  "signing_method": "internal"
}' \  
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations"

Wenn Sie Ihr eigenes HSM mitbringen, fügen Sie dem Antrag folgende Angaben bei:

"crypto_key": {
    "label": "my_key",
    "allow_generate_key": true,
    "provider": {
      "type": "hyper_protect_crypto_services",
      "instance_crn": "replace_with_hpcs_crn::",
      "pin_iam_credentials_secret_id": "replace_with_iam_credentials_secret_guid",
      "private_keystore_id": "replace_with_keystore_id"
    }
  }

Schritt 2: Zwischenzertifizierungsstelle signieren

Das folgende Beispiel zeigt eine Abfrage, mit der Sie die in Schritt 1 erstellte temporäre Zertifizierungsstelle signieren können.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d -d '{
  "action_type": "private_cert_configuration_action_sign_intermediate",
  "intermediate_certificate_authority": "example-intermediate-CA"
}' \  
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations/example-root-CA/actions"

Schritt 1: Zwischenzertifizierungsstelle erstellen und Anforderung signieren

Sie können ein CA-Zwischenzertifikat erstellen, das externe Signatur in der Secrets Manager -Benutzerschnittstelle verwendet.

1. Klicken Sie in der Konsole auf das Symbol Menü > Ressourcenliste.

2. Wählen Sie in der Liste der Services Ihre Secrets Manager -Instanz aus.

3. Klicken Sie auf der Seite Engines für geheime Schlüssel auf die Registerkarte Private Zertifikate.

4. Klicken Sie in der Tabelle "Zertifizierungsstellen" auf Zertifizierungsstelle erstellen , um den Erstellungsassistenten zu starten.

5. Geben Sie den Typ und die Optionen der Zertifizierungsstelle an.

   1. Wählen Sie Zwischenzertifizierungsstelle als Berechtigungstyp aus.
   2. Wählen Sie Externe Signaturaus.
   3. Geben Sie einen Namen ein, um Ihre Zertifizierungsstelle leicht zu identifizieren.
   4. Wählen Sie eine maximale Lebensdauer (TTL, Time-to-Live) für das Zertifikat aus, das für diese Zertifizierungsstelle generiert wird. Die Lebensdauer bestimmt, wie lange das CA-Zertifikat gültig bleibt.
   5. Um die URL des ausstellenden CA-Zertifikats in Endentitätszertifikate zu codieren, setzen Sie die Option URL codieren auf Aktiviert.

6. Geben Sie die Betreffnamensfelder für Ihr CA-Zwischenzertifikat ein.

7. Wählen Sie den Schlüsselverwaltungsdienst aus. Wählen Sie den Dienst Secrets Manager, um die Schlüssel der Stammzertifizierungsstelle dienstintern zu erstellen, oder wählen Sie Hyper Protect Crypto Services (HPCS). Wenn HPCS ausgewählt ist, führen Sie die folgenden Aufgaben aus:

   1. Wählen Sie Ihre HPCS-Instanz aus der Dropdown-Liste der Instanzen oder geben Sie Ihre HPCS-Instanz-CRN manuell ein

   2. Wählen Sie das IAM Credentials-Geheimnis, das zuvor für die Authentifizierung mit HPCS erstellt wurde.

      Sobald der IAM-Berechtigungsnachweis in der CA-Konfiguration festgelegt wurde, kann er später nicht mehr ersetzt werden.

   3. Wählen Sie den privaten HPCS-Schlüsselspeicher aus der Dropdown-Liste der Schlüsselspeicher aus, oder geben Sie die Schlüsselspeicher-ID manuell ein.

   4. Wählen Sie, ob Sie vorhandene Schlüssel verwenden oder neue Schlüssel erzeugen möchten. Wenn Sie einen vorhandenen privaten HPCS-Schlüssel auswählen oder die ID eines privaten Schlüssels manuell eingeben, stellen Sie sicher, dass ein öffentlicher Schlüssel vorhanden ist und die gleiche ID wie der private Schlüssel im privaten Schlüsselspeicher hat.

      Wenn Sie sich für die Erzeugung neuer Schlüssel entscheiden, werden diese Schlüssel nicht von Secrets Manager gelöscht, wenn die Konfiguration gelöscht wird.

8. Schlüsselalgorithmus auswählen , den Sie zum Generieren des öffentlichen und des privaten Schlüssels für Ihr CA-Zertifikat verwenden möchten.

9. Legen Sie fest, ob die Erstellung der Zertifikatswiderrufsliste (CRL) und die Verteilungspunkte für Ihr CA-Zertifikat aktiviert werden sollen.

   Eine CRL ist eine Liste von Zertifikaten, die von der ausstellenden Zertifizierungsstelle vor ihrem geplanten Ablaufdatum widerrufen wurden. Ein Zertifikat, das als Teil einer CRL aufgeführt ist, kann von Anwendungen nicht mehr anerkannt werden.

   1. Um bei jeder Zertifikatsanforderung eine CRL für Ihre Zwischenzertifizierungsstelle zu erstellen, setzen Sie die Option "CRL-Erstellung" auf "Aktiviert ".
   2. Um die URL der Widerrufsliste im CA-Zwischenzertifikat zu codieren, setzen Sie die Option CRL-Verteilungspunkte auf Aktiviert.
   3. Wählen Sie eine Lebensdauer (Time-to-Live, TTL) der generierten CRL aus. Die Lebensdauer bestimmt, wie lange die CRL gültig bleibt.

10. Prüfen Sie Ihre Auswahl. Klicken Sie zum Erstellen der temporären Zertifizierungsstelle auf Erstellen.

Die temporäre Zertifizierungsstelle wird Ihrer Liste der Konfigurationen für Ihre Instanz mit dem Status Signatur erforderlich hinzugefügt. Bevor Sie diese temporäre Zertifizierungsstelle zum Ausstellen privater Zertifikate verwenden können, müssen Sie sie mit dem übergeordneten CA-Zertifikat signieren, das Sie in Ihrem externen PKI-System erstellt haben.

Schritt 2: Zwischenzertifizierungsstelle mit externer Zertifizierungsstelle signieren

Wenn Sie eine Zwischen-Zertifizierungsstelle in Secrets Manager erstellen, die Sie mithilfe einer externen Zertifizierungsstelle signieren möchten, wird eine Zertifikatsignierungsanforderung(CSR)Eine elektronische Nachricht, die von einer Organisation an eine Zertifizierungsstelle gesendet wird, um ein Zertifikat abzurufen. Die Anforderung schließt einen öffentlichen Schlüssel ein und ist mit einem privaten Schlüssel signiert; die Zertifizierungsstelle gibt das Zertifikat zurück, nachdem sie es mit einem eigenen privaten Schlüssel signiert hat. generiert. Sie können die Zertifikatssignieranforderung verwenden, um Ihr CA-Zwischenzertifikat zu signieren und auszustellen.

1. Wechseln Sie in der Benutzerschnittstelle von Secrets Manager zu Engines für geheime Schlüssel > Private Zertifikate.

2. Klicken Sie in der Zeile der temporären Zertifizierungsstelle, die Sie signieren möchten, auf das Aktionen Menü > Zertifikat signieren.

3. Kopieren Sie die CSR oder laden Sie sie herunter.

4. Signieren Sie Ihr CA-Zwischenzertifikat mithilfe der Zertifikatssignieranforderung.

   Sie können aus verschiedenen Tools wie opensslauswählen, um eine CSR-Datei zu signieren. Der folgende openssl -Befehl verwendet beispielsweise eine CSR-Datei, die Sie von Secrets Manager heruntergeladen haben, und verwendet eine PEM-codierte CA-Datei und den zugehörigen privaten Schlüssel, um ein signiertes CA-Zertifikat auszugeben.

   openssl x509 -req -in <intermediate-ca-csr-file> -CA <external-parent-ca-file> -CAkey <external-ca-key-file> -out <signed-intermediate-ca-file>
   

   Der Befehl gibt eine signierte CA-Zwischenzertifikatsdatei aus, die Sie anschließend in Ihre Secrets Manager -Instanz importieren können, um den Signaturprozess abzuschließen.

Schritt 3: Signierte temporäre Zertifizierungsstelle in Ihre Instanz importieren

Nachdem Sie ein CA-Zwischenzertifikat mithilfe einer externen übergeordneten Zertifizierungsstelle signiert haben, können Sie es mithilfe der Secrets Manager -Benutzerschnittstelle in Ihre Instanz importieren.

1. Wechseln Sie in der Benutzerschnittstelle von Secrets Manager zu Engines für geheime Schlüssel > Private Zertifikate.

2. Klicken Sie in der Zeile der temporären Zertifizierungsstelle, die Sie signiert haben, auf das Aktionen Menü > Zertifikat signieren.

3. Wählen Sie die signierte CA-Zwischenzertifikatsdatei aus, die Sie in Vorheriger Schrittsigniert haben, oder geben Sie sie ein.

4. Klicken Sie auf Signieren , um den externen Signaturprozess abzuschließen.

   Die signierte temporäre Zertifizierungsstelle wird Ihrer Liste der Konfigurationen für Ihre Instanz mit dem Status Aktiv hinzugefügt. Sie können diese temporäre Zertifizierungsstelle jetzt für Private Zertifikate erstellen für Ihre Anwendungen verwenden. Klicken Sie zum Ändern oder Entfernen einer vorhandenen Konfiguration in der Zeile der Zertifizierungsstelle, die Sie aktualisieren möchten, auf Aktionen Menü .

Schritt 1: Zwischenzertifizierungsstelle erstellen und Anforderung signieren

Das folgende Beispiel zeigt eine Abfrage, mit der Sie eine temporäre Zertifizierungsstelle mit externer Signatur erstellen können. Setzen Sie im Anforderungshauptteil den Wert des Attributs signing_method auf external.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
  "config_type": "private_cert_configuration_intermediate_ca",
  "name": "example-intermediate-CA",
  "common_name": "example.com",
  "crl_disable": false,
  "crl_distribution_points_encoded": true,
  "crl_expiry": "72h",
  "issuer": "example-root-CA",
  "issuing_certificates_urls_encoded": true,
  "max_ttl": "26300h",
  "signing_method": "external"
}' \  
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations"

Wenn Sie Ihr eigenes HSM mitbringen, fügen Sie dem Antrag folgende Angaben bei:

"crypto_key": {
    "label": "my_key",
    "allow_generate_key": true,
    "provider": {
      "type": "hyper_protect_crypto_services",
      "instance_crn": "replace_with_hpcs_crn::",
      "pin_iam_credentials_secret_id": "replace_with_iam_credentials_secret_guid",
      "private_keystore_id": "replace_with_keystore_id"
    }
  }

Kopieren Sie die CSR aus den JSON-Antwortdaten. Der CSR-Wert ist im Wert des Attributs data der Antwort verschachtelt. Sie können auch die API get configuration verwenden, um die CSR aus den Daten der neu erstellten temporären Zertifizierungsstelle abzurufen.

Schritt 2: Zwischenzertifizierungsstelle mit externer Zertifizierungsstelle signieren

Verwenden Sie die CSR, die Sie in Schritt 1 kopiert haben, um Ihr CA-Zwischenzertifikat zu signieren. Fügen Sie die CSR in eine Datei ein, die zum Signieren verwendet werden soll.

Sie können aus verschiedenen Tools wie opensslauswählen, um eine CSR-Datei zu signieren. Der folgende Befehl openssl verwendet beispielsweise eine CSR-Datei und eine PEM-codierte CA-Datei sowie den zugehörigen privaten Schlüssel, um ein signiertes CA-Zertifikat auszustellen.

openssl x509 -req -in <intermediate-ca-csr-file> -CA <external-parent-ca-file> -CAkey <external-ca-key-file> -out <signed-intermediate-ca-file>

Der Befehl gibt eine signierte Zertifikatsdatei aus, die Sie in Ihre CA-Zwischenkonfiguration importieren können, um den Signaturprozess abzuschließen.

Wenn die übergeordnete Zertifizierungsstelle eine Stammzertifizierungsstelle oder eine temporäre Zertifizierungsstelle aus einer anderen Secrets Manager-Instanz ist, können Sie die CSR mit der Aktion sign-csr signieren. Das folgende Beispiel zeigt eine Abfrage, mit der Sie die CSR signieren können.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
  "action_type": "private_cert_configuration_action_sign_csr",
  "csr": "-----BEGIN CERTIFICATE REQUEST-----\nMIICiDCCAXACAQAwGDEWMBQGA1UEAxMNct5ANo8jybxCwNjHOA==\n-----END CERTIFICATE REQUEST-----"
}' \  
  "https://{other_instance_ID}.{other_instance_region}.secrets-manager.appdomain.cloud/api/v2/configurations/example-intermediate-CA/actions"

Kopieren Sie den Wert des Felds certificate aus der Antwort, um ihn im nächsten Schritt zu verwenden.

Schritt 3: Signierte temporäre Zertifizierungsstelle in die Konfiguration der temporären Zertifizierungsstelle importieren

Nachdem Sie ein Zwischenzertifikat der Zertifizierungsstelle mithilfe einer externen übergeordneten Zertifizierungsstelle signiert haben, können Sie es mithilfe der Aktion set-signed in Ihre Zwischenzertifikatskonfiguration importieren. Das folgende Beispiel zeigt eine Abfrage, mit der Sie das extern signierte Zertifikat importieren können.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
  "action_type": "private_cert_configuration_action_set_signed",
  "certificate": "-----BEGIN CERTIFICATE-----\nMIIGRjCCBS6gAwIBAgIUSKW6zI+E9JU4bva\n-----END CERTIFICATE-----"
}' \  
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations/example-intermediate-CA/actions"

Schritt 1: Zwischenzertifizierungsstelle erstellen und Anforderung signieren

Führen Sie den Befehl ibmcloud secrets-manager configuration-create aus, um eine temporäre Zertifizierungsstelle und eine Signaturanforderung über die Befehlszeilenschnittstelle Secrets Manager zu erstellen. Setzen Sie im Konfigurationsprototyp den Wert des Attributs signing_method auf external. Verwenden Sie die Option --output json, um eine vollständige Antwort zu erhalten, die den Wert des Attributs csr enthält. Der folgende Befehl erstellt beispielsweise eine temporäre Zertifizierungsstelle mit externer Signatur.

ibmcloud secrets-manager configuration-create --output json
   --configuration-prototype='{
      "config_type": "private_cert_configuration_intermediate_ca",
      "name": "example-intermediate-CA",
      "max_ttl": "26300h",
      "signing_method": "external",
      "crl_expiry": "72h",
      "crl_disable": false,
      "crl_distribution_points_encoded": true,
      "issuing_certificates_urls_encoded": true,
      "common_name": "example.com",
      "alt_names": [
         "alt-name-1","alt-name-2"
         ],
      "ip_sans": "127.0.0.1",
      "uri_sans": "https://www.example.com/test",
      "other_sans": ["1.2.3.5.4.3.201.10.4.3;utf8:test@example.com"],
      "format": "pem",
      "private_key_format": "der",
      "key_type": "rsa",
      "key_bits": 4096,
      "exclude_cn_from_sans": false
   }'

Kopieren Sie die CSR aus den JSON-Antwortdaten. Der CSR-Wert ist im Wert des Attributs data der Antwort verschachtelt. Sie können auch die Daten der neu erstellten temporären Zertifizierungsstelle abrufen, indem Sie den Befehl ibmcloud secrets-manager configuration mit der Option --output json ausführen. Beispiel:

ibmcloud secrets-manager configuration --name example-intermediate-CA --output json