Paso 1: Crear una CA intermedia con firma interna

El ejemplo siguiente muestra una consulta que puede utilizar para crear una CA intermedia con firma interna. En el cuerpo de la solicitud, establezca el valor del atributo signing_method en internal. Utilice el atributo issuer para especificar la entidad emisora de certificados padre.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
  "config_type": "private_cert_configuration_intermediate_ca",
  "name": "example-intermediate-CA",
  "common_name": "example.com",
  "crl_disable": false,
  "crl_distribution_points_encoded": true,
  "crl_expiry": "72h",
  "issuer": "example-root-CA",
  "issuing_certificates_urls_encoded": true,
  "max_ttl": "26300h",
  "signing_method": "internal"
}' \  
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations"

Si trae su propio HSM, incluya lo siguiente en la solicitud:

"crypto_key": {
    "label": "my_key",
    "allow_generate_key": true,
    "provider": {
      "type": "hyper_protect_crypto_services",
      "instance_crn": "replace_with_hpcs_crn::",
      "pin_iam_credentials_secret_id": "replace_with_iam_credentials_secret_guid",
      "private_keystore_id": "replace_with_keystore_id"
    }
  }

Paso 2: Firmar la CA intermedia

El ejemplo siguiente muestra una consulta que puede utilizar para firmar la CA intermedia que ha creado en el paso 1.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d -d '{
  "action_type": "private_cert_configuration_action_sign_intermediate",
  "intermediate_certificate_authority": "example-intermediate-CA"
}' \  
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations/example-root-CA/actions"

Paso 1: Crear una CA intermedia y una solicitud de firma

Puede crear un certificado de CA intermedio que utilice la firma externa en la interfaz de usuario de Secrets Manager.

1. En la consola, pulse el icono Menú > Lista de recursos.

2. En la lista de servicios, seleccione la instancia de Secrets Manager.

3. En la página Motores de secretos, pulse la pestaña Certificados privados.

4. En la tabla Entidades emisoras de certificados, pulse Crear entidad emisora de certificados para iniciar el asistente de creación.

5. Especifique el tipo y las opciones de la entidad emisora de certificados.

   1. Seleccione Entidad emisora de certificados intermedia como tipo de autorización.
   2. Seleccione Firma externa.
   3. Especifique un nombre para identificar fácilmente la entidad emisora de certificados.
   4. Seleccione un tiempo de vida (TTL) máximo para el certificado que se va a generar para esta CA. El TTL determina el tiempo de validez del certificado de CA.
   5. Para codificar el URL del certificado de la CA emisora en los certificados de entidad final, establezca la opción Codificar URL en Habilitado.

6. Especifique los campos de nombre de asunto para el certificado de CA intermedia.

7. Seleccione el servicio de gestión de claves. Elija el servicio Secrets Manager para crear las claves de entidad emisora de certificados raíz internamente por el servicio, o elija Hyper Protect Crypto Services (HPCS). Si se selecciona HPCS, realice las siguientes tareas:

   1. Seleccione su instancia HPCS o introduzca manualmente el CRN de su instancia HPCS

   2. Seleccione el secreto de Credenciales IAM que se creó anteriormente para autenticarse con HPCS.

      Una vez que la credencial IAM ha sido establecida en la configuración de la CA, no puede ser reemplazada posteriormente.

   3. Seleccione el almacén de claves privadas HPCS de la lista de almacenes de claves o introduzca el ID del almacén de claves manualmente.

   4. Elija entre utilizar las claves existentes o generar claves nuevas. En caso de seleccionar una clave privada HPCS existente o de introducir un ID de clave privada manualmente, asegúrese de que existe una clave pública y de que tiene el mismo ID que la clave privada en el almacén de claves privadas.

      En caso de que elija generar nuevas claves, éstas no serán borradas por Secrets Manager en caso de que la configuración sea eliminada.

8. Seleccione el algoritmo de clave que desea utilizar para generar la clave pública y privada para el certificado de CA.

9. Determine si desea habilitar los puntos de distribución y de creación de la lista de revocación de certificados (CRL) para el certificado de CA.

   Una CRL es una lista de certificados que la entidad emisora de certificados ha revocado antes de su fecha de caducidad planificada. Las aplicaciones ya no pueden confiar en un certificado que se lista como parte de una CRL.

   1. Para crear una CRL para su CA intermedia con cada solicitud de certificado, establezca la opción de creación de CRL en Activado.
   2. Para codificar el URL de la lista de revocación en el certificado de CA intermedia, establezca la opción Puntos de distribución de CRL en Habilitado.
   3. Seleccione un tiempo de vida (TTL) de la CRL generada. El TTL determina cuánto el tiempo de validez de la CRL.

10. Revise sus selecciones. Para crear la CA intermedia, pulse Crear.

La CA intermedia se añade a la lista de configuraciones para la instancia con el estado Se necesita firma. Para poder utilizar esta CA intermedia para emitir certificados privados, debe firmarla utilizando el certificado de CA padre que ha creado en el sistema PKI externo.

Paso 2: Firmar una CA intermedia con una CA externa

Cuando crea una CA intermedia en Secrets Manager que desea firmar mediante una CA externa, se genera una solicitud de firma de certificado(CSR)Un mensaje electrónico que envía una organización a una entidad emisora de certificados (CA) para obtener un certificado. La solicitud incluye una clave pública y se firma con una clave privada; la CA devuelve el certificado después de firmarlo con su propia clave privada.. Puede utilizar la CSR para firmar y emitir el certificado de CA intermedia.

1. En la interfaz de usuario de Secrets Manager, vaya a Motores de secretos > Certificados privados.

2. En la fila de la CA intermedia que desea firmar, pulse el menú Acciones > Firmar certificado.

3. Copie o descargue la CSR.

4. Utilice la CSR para firmar el certificado de CA intermedio.

   Puede elegir entre varias herramientas, como openssl, para firmar un archivo de CSR. Por ejemplo, el siguiente mandato openssl toma un archivo CSR que el usuario ha descargado de Secrets Manager y utiliza un archivo de CA codificado por PEM y su clave privada asociada para emitir un certificado de CA firmado.

   openssl x509 -req -in <intermediate-ca-csr-file> -CA <external-parent-ca-file> -CAkey <external-ca-key-file> -out <signed-intermediate-ca-file>
   

   El mandato genera un archivo de certificado de CA intermedia firmado se que puede importar a continuación a la instancia de Secrets Manager para completar el proceso de firma.

Paso 3: Importar una CA intermedia firmada a su instancia

Después de firmar un certificado de CA intermedia utilizando una CA padre externa, puede importarla a la instancia utilizando la interfaz de usuario de Secrets Manager.

1. En la interfaz de usuario de Secrets Manager, vaya a Motores de secretos > Certificados privados.

2. En la fila de la CA intermedia que ha firmado, pulse el menú Acciones > Firmar certificado.

3. Seleccione o especifique el archivo de certificado de CA intermedia firmado que ha firmado en el paso anterior.

4. Pulse Firmar para completar el proceso de firma externa.

   La CA intermedia firmada se añade a la lista de configuraciones para la instancia con el estado Activa. Ahora puede utilizar esta CA intermedia para crear certificados privados para las aplicaciones. Para modificar o eliminar una configuración existente, pulse en el menú Acciones de la fila de la entidad emisora de certificados que desea actualizar.

Paso 1: Crear una CA intermedia y una solicitud de firma

El ejemplo siguiente muestra una consulta que puede utilizar para crear una CA intermedia con firma externa. En el cuerpo de la solicitud, establezca el valor del atributo signing_method en external.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
  "config_type": "private_cert_configuration_intermediate_ca",
  "name": "example-intermediate-CA",
  "common_name": "example.com",
  "crl_disable": false,
  "crl_distribution_points_encoded": true,
  "crl_expiry": "72h",
  "issuer": "example-root-CA",
  "issuing_certificates_urls_encoded": true,
  "max_ttl": "26300h",
  "signing_method": "external"
}' \  
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations"

Si trae su propio HSM, incluya lo siguiente en la solicitud:

"crypto_key": {
    "label": "my_key",
    "allow_generate_key": true,
    "provider": {
      "type": "hyper_protect_crypto_services",
      "instance_crn": "replace_with_hpcs_crn::",
      "pin_iam_credentials_secret_id": "replace_with_iam_credentials_secret_guid",
      "private_keystore_id": "replace_with_keystore_id"
    }
  }

Copie la CSR de los datos JSON de respuesta. El valor CSR está anidado dentro del valor del atributo data de la respuesta. También puede utilizar la API get configuration para obtener la CSR de los datos de la CA intermedia recién creada.

Paso 2: Firmar una CA intermedia con una CA externa

Utilice la CSR que ha copiado en el paso 1 para firmar el certificado de CA intermedio. Coloque la CSR en un archivo que se utilizará para la firma.

Puede elegir entre varias herramientas, como openssl, para firmar un archivo de CSR. Por ejemplo, el siguiente comando openssl toma un archivo CSR y utiliza un archivo CA codificado en PEM y su clave privada asociada para emitir un certificado CA firmado.

openssl x509 -req -in <intermediate-ca-csr-file> -CA <external-parent-ca-file> -CAkey <external-ca-key-file> -out <signed-intermediate-ca-file>

El mandato genera un archivo de certificado firmado que puede importar en la configuración de CA intermedia para completar el proceso de firma.

Si la CA padre es una CA raíz o una CA intermedia de otra instancia de Secrets Manager, puede firmar la CSR utilizando la acción sign-csr. El siguiente ejemplo muestra una consulta que puede utilizar para firmar la CSR.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
  "action_type": "private_cert_configuration_action_sign_csr",
  "csr": "-----BEGIN CERTIFICATE REQUEST-----\nMIICiDCCAXACAQAwGDEWMBQGA1UEAxMNct5ANo8jybxCwNjHOA==\n-----END CERTIFICATE REQUEST-----"
}' \  
  "https://{other_instance_ID}.{other_instance_region}.secrets-manager.appdomain.cloud/api/v2/configurations/example-intermediate-CA/actions"

Copie el valor del campo certificate de la respuesta para utilizarlo en el paso siguiente.

Paso 3: Importar una CA intermedia firmada en la configuración de CA intermedia

Después de firmar un certificado de CA intermedia utilizando una CA principal externa, puede importarlo a su configuración de CA intermedia mediante la acción set-signed. El siguiente ejemplo muestra una consulta que puede utilizar para importar el certificado firmado externamente.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
  "action_type": "private_cert_configuration_action_set_signed",
  "certificate": "-----BEGIN CERTIFICATE-----\nMIIGRjCCBS6gAwIBAgIUSKW6zI+E9JU4bva\n-----END CERTIFICATE-----"
}' \  
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations/example-intermediate-CA/actions"

Paso 1: Crear una CA intermedia y una solicitud de firma

Para crear una CA intermedia y una solicitud de firma desde la CLI Secrets Manager, ejecute el mandato ibmcloud secrets-manager configuration-create. En el prototipo de configuración, establezca el valor del atributo signing_method en external. Utilice la opción --output json para obtener una respuesta completa que incluya el valor del atributo csr. Por ejemplo, el mandato siguiente crea una CA intermedia con firma externa.

ibmcloud secrets-manager configuration-create --output json
   --configuration-prototype='{
      "config_type": "private_cert_configuration_intermediate_ca",
      "name": "example-intermediate-CA",
      "max_ttl": "26300h",
      "signing_method": "external",
      "crl_expiry": "72h",
      "crl_disable": false,
      "crl_distribution_points_encoded": true,
      "issuing_certificates_urls_encoded": true,
      "common_name": "example.com",
      "alt_names": [
         "alt-name-1","alt-name-2"
         ],
      "ip_sans": "127.0.0.1",
      "uri_sans": "https://www.example.com/test",
      "other_sans": ["1.2.3.5.4.3.201.10.4.3;utf8:test@example.com"],
      "format": "pem",
      "private_key_format": "der",
      "key_type": "rsa",
      "key_bits": 4096,
      "exclude_cn_from_sans": false
   }'

Copie la CSR de los datos JSON de respuesta. El valor CSR está anidado dentro del valor del atributo data de la respuesta. También puede obtener los datos de la CA intermedia recién creada ejecutando el mandato ibmcloud secrets-manager configuration con la opción --output json. Por ejemplo:

ibmcloud secrets-manager configuration --name example-intermediate-CA --output json