当局証明書のローテーション

IBM Cloud® Secrets Managerで公開鍵基盤（PKI）を管理するには、CAチェーン証明書のライフサイクルを考慮する必要があります。これらの証明書は、消費者のワークフロー（ TLS ）を中断することなく維持するために、有効期限が切れる前に定期的にローテーションされ、配布されるべきである。

ルートCAのローテーション

開始前に

ルート証明機関のローテーションは、公開鍵インフラ全体に影響を与えかねない大きな変更であり、事前に慎重に計画する必要がある。

新しいルート CA 証明書がすべてのコンシューマに配布されるよう、既存のルート CA 証明書と新しいルート CA 証明書の両方がオーバーラップする時期を計画すべきである。
したがって、ルート CA 証明書の有効期間を長く設定することを推奨する。 Secrets Manager では、ルート証明書のデフォルト TTL は 10 年です。

ルートCAのローテーション

PKI 利用者に、今後のローテーション計画を通知する。新しいルート CA がダウンロード可能となる時刻、新しい CA チェーンを使用して新しいリーフ証明書が発行される時刻、および既存のルート CA 証明書の有効期限が切れる時刻。
ルート認証局の作成手順に従って、新しいルート認証局を作成する。
中間認証局の作成手順に従って、新しいルート認証局で署名された認証局チェーンを作成する。
すべてのコンシューマが既存のルート CA と共にトラストストアにインストールできるように、新しいルート CA を配布する。
ローテーション計画を監視し、節目となるイベントを PKI ユーザーに通知する。

中間CAを回転させる

開始前に

中間 CA のローテーションが予定されていることを、事前に PKI 利用者に通知する。

中間認証局は、他の中間認証局に署名するために使用されていない場合、インラインでローテートすることができる。
多段階の中間 CA チェーンを使用している場合は、既存の中間 CA チェーンと並行して新しい中間 CA チェーンを事前に作成し、PKI コンシューマを新しいチェーンを使用するように移行する必要がある。

中間CAをインラインで回転させる

中間 CA は、それが内部的に署名されたアクティブ状態の CA であり、リーフ証明書に署名するためにのみ使用される場合、インラインでローテーションすることができる。
インライン中間 CA のローテーションは、以前の CA 証明書を使用して署名された既存のリーフ証明書には影響しない。新しいリーフ証明書は、新しい CA 証明書を使用して署名される。

サービスUIを使用した回転

Secrets ManagerサービスUIを使用して、中間CA証明書をローテーションできる。

コンソールで、**「メニュー」**アイコン **>「リソース・リスト」**をクリックします。
サービスのリストから、Secrets Manager インスタンスを選択します。
シークレット・エンジンページで、プライベート証明書タブをクリックします。
ローテートしたい中間 CA 証明書の行で、Details メニューのをクリックします。
Actions ボタンをクリックします。
回転アクションを選択し、確定する。

CLIを使ったローテーション

Secrets Managerを使用して中間CA証明書をローテートできます。CLIを使用します。

ibmcloud secrets-manager configuration-action-create \                                                               
    --name "your-intermediate-ca-name" \
    --config-action-prototype '{"action_type": "private_cert_configuration_action_rotate_intermediate"}' \
    --config-type private_cert_configuration_intermediate_ca

APIを使用した回転

Secrets Managerを使用して中間CA証明書をローテーションできます。APIを使います：

curl -X 'POST' \
  --header "accept: application/json" \
  --header "Content-Type: application/json" \
  --header 'X-Sm-Accept-Configuration-Type: private_cert_configuration_intermediate_ca' \
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations/{intermediate-configuration-name}/actions" \
  -d '{
      "action_type": "private_cert_configuration_action_rotate_intermediate"
  }'

{instance_ID} と {region} を、ご使用の Secrets Manager サービス・インスタンスに適用される値に置き換えます。インスタンス固有のエンドポイント URL を見つけるには、Secrets Manager UI の 「エンドポイント」 ページからエンドポイント URL をコピーします。詳細については、エンドポイント URL の表示を参照してください。
{intermediate-configuration-name} 中間コンフィギュレーション名に置き換えてください。