Importazione dei certificati SSL / TLS

È possibile utilizzare IBM Cloud® Secrets Manager per importare i certificati SSL / TLS da utilizzare per le proprie applicazioni o servizi.

Un certificato SSL / TLS è un tipo di certificato digitale utilizzato per stabilire la privacy delle comunicazioni tra un server e un client. I certificati sono emessi dalle autorità di certificazione(CA)Un'organizzazione o società attendibile di terze parti che emette i certificati digitali. L'autorità di certificazione in genere verifica l'identità dei singoli utenti a cui viene concesso il certificato univoco. e contengono informazioni utilizzate per creare connessioni sicure e affidabili tra gli endpoint. Dopo aver aggiunto un certificato all'istanza di Secrets Manager, è possibile utilizzarlo per proteggere le comunicazioni di rete per le implementazioni in cloud o on-premise. Il certificato viene memorizzato in modo sicuro nell'istanza dedicata del servizio Secrets Manager, dove è possibile gestirne centralmente il ciclo di vita.

In Secrets Manager, i certificati importati nel servizio sono certificati importati (imported_cert). I certificati ordinati tramite Secrets Manager da un'autorità di certificazione di terze parti sono certificati pubblici (public_cert). I certificati creati utilizzando un'autorità di certificazione privata sono certificati privati (private_cert).

Per ulteriori informazioni sui tipi di segreti che puoi gestire in Secrets Manager, vedi Cos' è un segreto?.

Prima di iniziare

Prima di iniziare, assicurati di disporre del livello di accesso richiesto. Per creare o aggiungere segreti, hai bisogno del ruolo del servizio Writer o superiore.

Prima di importare un certificato, assicurarsi di:

Creare un certificato conforme a X.509 con una chiave privata corrispondente (facoltativo).
Convertire i file in formato di posta elettronica protetta ( PEM ).
Mantenere la chiave privata non criptata per garantire che possa essere importata in Secrets Manager.

Importazione dei certificati esistenti

Puoi utilizzare Secrets Manager per memorizzare i file di certificati firmati ed emessi dalle autorità di certificazione esterne. Dopo aver importato i file del certificato, puoi distribuire il certificato alle tue applicazioni e ai tuoi servizi, scaricare il certificato o ruotarlo manualmente quando è il momento di rinnovarlo.

Importazione di certificati nell'interfaccia utente

Puoi importare un certificato esistente utilizzando l'IU Secrets Manager.

Nella console, fare clic sull'icona Menu > Elenco risorse.
Dall'elenco di servizi, seleziona la tua istanza di Secrets Manager.
Nella tabella Segreti, fare clic su Aggiungi.
Fai clic su Next.
Aggiungete un nome e una descrizione per identificare facilmente il vostro segreto.
Selezionare il gruppo di segreti che si desidera assegnare al segreto.

Non hai un gruppo segreto? Nel campo Gruppo segreto, è possibile fare clic su Crea per fornire un nome e una descrizione per un nuovo gruppo. Il tuo segreto viene aggiunto automaticamente al nuovo gruppo. Per ulteriori informazioni sui gruppi di segreti, consulta Organizzazione dei tuoi segreti.
Facoltativo: aggiungi le etichette per aiutarti a cercare segreti simili nella tua istanza.
Facoltativo: aggiungi i metadati al tuo segreto o a una versione specifica del tuo segreto.
1. Caricare un file o immettere i metadati e i metadati della versione in formato JSON.
Fai clic su Next.
Selezionare la casella Importa un certificato.
Selezionare un file di certificato o immetterne il valore.

È possibile memorizzare i file dei certificati X.509 non scaduti in formato PEM. Se stai gestendo i certificati in un formato diverso, puoi utilizzare i programmi di utilità della riga di comando per convertire i tuoi certificati in .pem. Per ulteriori informazioni, vedi Perché non posso importare il certificato?

Facoltativo: selezionare un file di chiavi private o immetterne il valore.

Se si sceglie di memorizzare una chiave privata, assicurarsi che corrisponda al certificato. La chiave privata deve essere decodificata prima di poterla importare nel servizio.

Facoltativo: selezionare un file di certificato intermedio o immetterne il valore.
Fai clic su Next.
Esaminare i dettagli del certificato.
Fai clic su Aggiungi.

Importazione dei certificati dalla CLI

Prima di iniziare, seguire la documentazione della CLI per impostare l'endpoint API.

Per importare un certificato utilizzando il plug-in CLI Secrets Manager, esegui il comando ibmcloud secrets-manager secret-create. Ad esempio, il seguente comando importa un certificato insieme alla sua chiave privata e al certificato intermedio.

È possibile importare file di certificati nel formato .pem. Assicurarsi di convertire i file PEM in formato a riga singola, in modo che possano essere analizzati correttamente dalla CLI di Secrets Manager.

certificate=$(cat cert.pem)
private_key=$(cat key.pem)

ibmcloud secrets-manager secret-create --secret-name example-imported-cert-secret --secret-type imported_cert --imported-cert-certificate ${certificate} --imported-cert-private-key ${private_key}

Il comando emette il valore di ID del segreto, insieme ad altri metadati. Per ulteriori informazioni relative alle opzioni del comando, consultare ibmcloud secrets-manager secret-create.

Importazione dei certificati con l'API

Puoi importare i certificati in modo programmatico richiamando l'API Secrets Manager.

Il seguente esempio mostra una query che è possibile utilizzare per importare un certificato esistente. Quando richiami la API, sostituisci le variabili ID e il token IAM con i valori specifici della tua istanza Secrets Manager.

Puoi archiviare i metadati che sono pertinenti alle esigenze della tua organizzazione con i parametri di richiesta custom_metadata e version_custom_metadata. I valori di version_custom_metadata vengono restituiti solo per le versioni di un segreto. I metadati personalizzati del tuo segreto vengono memorizzati come tutti gli altri metadati, per un massimo di 50 versioni, e non devi includere dati riservati.

curl -X POST  
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
            "name": "example-imported-certificate",
            "description": "description of my imported certificate.",
            "secret_type": "imported_cert",
            "secret_group_id": "67d025e1-0248-418f-83ba-deb0ebfb9b4a",
            "labels": [
                "dev",
                "us-south"
            ],
            "certificate": "-----BEGIN CERTIFICATE-----\nMIIE3jCCBGSgAwIBAgIUZfTbf3adn87l5J2Q2Aw+6Vk/qhowCgYIKoZIzj0EAwIw\n-----END CERTIFICATE-----",
            "intermediate": "-----BEGIN CERTIFICATE-----\nMIIE3DCCBGKgAwIBAgIUKncnp6BdSUKAFGBcP4YVp/gTb7gwCgYIKoZIzj0EAwIw\n-----END CERTIFICATE-----",
            "private_key": "-----BEGIN RSA PRIVATE KEY-----\nMIIEowIBAAKCAQEAqcRbzV1wp0nVrPtEpMtnWMO6Js1q3rhREZluKZfu0Q8SY4H3\n-----END RSA PRIVATE KEY-----",
            "custom_metadata": {
                "metadata_custom_key": "metadata_custom_value"
            },
            "version_custom_metadata": {
                "custom_version_key": "custom_version_value"
            }
        }' \
    "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

Una risposta di successo restituisce il valore ID del segreto, insieme ad altri metadati. Per ulteriori informazioni sui parametri di richiesta obbligatori e facoltativi, vedi Crea un segreto.

Importazione di certificati con Terraform

Puoi importare i certificati in modo programmatico utilizzando Terraform per Secrets Manager.

Il seguente esempio mostra una query che è possibile utilizzare per importare un certificato esistente.

    resource "ibm_sm_imported_certificate" "sm_imported_certificate" {
        instance_id = local.instance_id
        region = local.region
        name = "test-imported-certificate"
        secret_group_id = "default"
        certificate  = file("path_to_certificate_file")
        intermediate = file("path_to_intermediate_certificate_file")
        private_key  = file("path_to_private_key_file")
    }

Gestite in modo efficiente i certificati importati utilizzando Terraform IBM Modules (TIM) per Secrets Manager Secret per la gestione dichiarativa dell'infrastruttura. Esaminare la documentazione dei moduli Terraform IBM.

Creazione di una richiesta di firma del certificato (CSR, certificate signing request)

È possibile utilizzare un segreto di certificato importato per generare una richiesta di firma del certificato (CSR) che può essere firmata esternamente con la propria autorità di certificazione e aggiunta nuovamente al segreto di certificato importato.

Il certificato segreto importato viene creato nello stato di preattivazione. Per attivarlo è necessario scaricare il file CSR, firmarlo con la propria autorità di certificazione e aggiungere il certificato firmato come nuova versione segreta.

Creazione di richieste di firma certificata nell'interfaccia utente

È possibile creare una richiesta di firma del certificato utilizzando l'interfaccia utente di Secrets Manager.

Nella console, fare clic sull'icona Menu > Elenco risorse.
Dall'elenco di servizi, seleziona la tua istanza di Secrets Manager.
Nella tabella Segreti, fare clic su Aggiungi.
Dall'elenco dei tipi segreti, fare clic sul riquadro Certificato importato.
Fai clic su Next.
Aggiungete un nome e una descrizione per identificare facilmente il vostro segreto.
Seleziona il gruppo di segretiL'ambiente e i vincoli che contengono segreti in un'istanza devono essere conformi. Un utente può essere associato a un gruppo segreto per consentire l'accesso e la collaborazione. che vuoi assegnare al segreto.

Non hai un gruppo segreto? Nel campo Gruppo segreto, è possibile fare clic su Crea per fornire un nome e una descrizione per un nuovo gruppo. Il tuo segreto viene aggiunto automaticamente al nuovo gruppo. Per ulteriori informazioni sui gruppi di segreti, consulta Organizzazione dei tuoi segreti.
Facoltativo: aggiungi le etichette per aiutarti a cercare segreti simili nella tua istanza.
Facoltativo: aggiungi i metadati al tuo segreto o a una versione specifica del tuo segreto.

Caricare un file o immettere i metadati e i metadati della versione in formato JSON.
Fai clic su Next.
Selezionare il riquadro Crea una richiesta di firma certificato (CSR ).
Aggiungere un nome comune.
Opzionale: aggiungere campi oggetto.
Opzionale: selezionare un algoritmo chiave. Se non selezionato, viene utilizzato RSA come impostazione predefinita.
Opzionale: selezionare un ruolo certificato.
Fai clic su Next.
Rivedi i dettagli della tua richiesta di firma del certificato.
Fai clic su Aggiungi.

Aggiornamento e download delle richieste di firma del certificato nell'interfaccia utente

Nella riga del segreto che vuoi aggiornare, fai clic del menu Azioni > Dettagli.
Nella pagina Dettagli, utilizzare la scheda CSR gestita per modificare i campi della richiesta di firma del certificato.

Quando si aggiornano il nome comune o i nomi alternativi dell'oggetto, mantenere almeno uno dei nomi invariato per mantenere coerente l'oggetto del certificato.
Fare clic su Aggiorna.
Aprire la scheda Managed CSR e fare clic su Download CSR per scaricare il file di richiesta di firma del certificato.

Con il file di richiesta di firma del certificato in mano, dovresti rivolgerti alla tua autorità di certificazione e firmare il tuo file CSR per ottenere il certificato firmato.

Aggiunta del certificato firmato nell'interfaccia utente

Aggiungere il file del certificato firmato al segreto nell'istanza di Secrets Manager, utilizzando la procedura descritta in Rotazione manuale dei certificati importati con CSR gestita.

Creazione di richieste di firma certificata con l'API

È possibile creare una richiesta di firma del certificato a livello di programmazione richiamando l'API Secrets Manager.
Quando richiami la API, sostituisci le variabili ID e il token IAM con i valori specifici della tua istanza Secrets Manager.

curl -X POST  
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
            "name": "example-csr",
            "description": "description of my csr.",
            "secret_type": "imported_cert",
            "secret_group_id": "67d025e1-0248-418f-83ba-deb0ebfb9b4a",
            "labels": [
                "dev",
                "us-south"
            ],
            "managed_csr": {
              "require_cn": true,
              "common_name": "example.com",
              "ip_sans": "127.0.0.1",
              "uri_sans": "https://www.example.com/test",
              "other_sans": "2.5.4.5;UTF8:*.example.com",
              "exclude_cn_from_sans": false
            },
            "custom_metadata": {
                "metadata_custom_key": "metadata_custom_value"
            },
            "version_custom_metadata": {
                "custom_version_key": "custom_version_value"
            }
        }' \
    "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

Una risposta di successo restituisce il valore ID del segreto, insieme ad altri metadati. Per ulteriori informazioni sui parametri di richiesta obbligatori e facoltativi, vedi Crea un segreto.

Aggiornamento e download delle richieste di firma del certificato con l'API

È possibile aggiornare una richiesta di firma certificato a livello di programmazione richiamando l'API Secrets Manager.
Quando richiami la API, sostituisci le variabili ID e il token IAM con i valori specifici della tua istanza Secrets Manager.

curl -X POST  
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
            "name": "example-csr",
            "description": "description of my csr.",
            "secret_type": "imported_cert",
            "secret_group_id": "67d025e1-0248-418f-83ba-deb0ebfb9b4a",
            "labels": [
                "dev",
                "us-south"
            ],
            "managed_csr": {
              "alt_names": "alt1"
            }
        }' \
    "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

Una risposta di successo restituisce il valore ID del segreto, insieme ad altri metadati. Per ulteriori informazioni sui parametri di richiesta obbligatori e facoltativi, vedi Crea un segreto.

Aggiunta del certificato firmato con l'API

Aggiungere il file del certificato firmato al segreto nell'istanza di Secrets Manager, utilizzando la procedura descritta in Rotazione manuale dei certificati importati.

Creazione di richieste di firma certificato dalla CLI

Prima di iniziare, seguire la documentazione della CLI per impostare l'endpoint API.

Per creare una richiesta di firma del certificato utilizzando il plug-in CLI di Secrets Manager, eseguire il ibmcloud secrets-manager secret-create comando. Ad esempio, il comando seguente crea una richiesta di firma del certificato con l'opzione " --imported-cert-managed-csr " per aggiungere il campo " common_name " con valore example.com. Consultare i documenti API Secrets Manager per un elenco completo dei campi oggetto opzionali supportati.

ibmcloud secrets-manager secret-create --secret-name example-imported-cert-csr-secret --secret-type imported_cert --imported-cert-managed-csr '{"common_name":"example.com"}'

Aggiornamento e download delle richieste di firma del certificato dalla CLI

Prima di iniziare, seguire la documentazione della CLI per impostare l'endpoint API.

Per aggiornare una richiesta di firma certificato utilizzando il plug-in CLI di Secrets Manager, eseguire il ibmcloud secrets-manager secret-metadata-update comando. Ad esempio, il comando seguente aggiorna una richiesta di firma del certificato con l'opzione " --imported-cert-managed-csr " per aggiungere il campo " alt_names " con valore alt1. Consultare i documenti API Secrets Manager per un elenco completo dei campi oggetto opzionali supportati.

ibmcloud secrets-manager secret-metadata-update --id SECRET_ID --imported-cert-managed-csr '{"alt_names":"alt1"}'

Per ottenere la richiesta di firma del certificato utilizzando il plug-in CLI di Secrets Manager, eseguire il ibmcloud secrets-manager secret-metadata comando.

ibmcloud secrets-manager secret-metadata --id SECRET_ID

Aggiunta del certificato firmato dal CLI

Aggiungere il file del certificato firmato al segreto nell'istanza di Secrets Manager, utilizzando la procedura descritta in Rotazione manuale dei certificati importati.