Etapa 1: Criar uma CA intermediária com assinatura interna

O exemplo a seguir mostra uma consulta que pode ser usada para criar uma CA intermediária com assinatura interna. No corpo da solicitação, configure o valor do atributo signing_method como internal. Use o atributo issuer para especificar a autoridade de certificação pai.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
  "config_type": "private_cert_configuration_intermediate_ca",
  "name": "example-intermediate-CA",
  "common_name": "example.com",
  "crl_disable": false,
  "crl_distribution_points_encoded": true,
  "crl_expiry": "72h",
  "issuer": "example-root-CA",
  "issuing_certificates_urls_encoded": true,
  "max_ttl": "26300h",
  "signing_method": "internal"
}' \  
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations"

Se você estiver trazendo seu próprio HSM, inclua o seguinte na solicitação:

"crypto_key": {
    "label": "my_key",
    "allow_generate_key": true,
    "provider": {
      "type": "hyper_protect_crypto_services",
      "instance_crn": "replace_with_hpcs_crn::",
      "pin_iam_credentials_secret_id": "replace_with_iam_credentials_secret_guid",
      "private_keystore_id": "replace_with_keystore_id"
    }
  }

Etapa 2: assinar a autoridade de certificação intermediária

O exemplo a seguir mostra uma consulta que pode ser usada para assinar a CA intermediária que você criou na etapa 1.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d -d '{
  "action_type": "private_cert_configuration_action_sign_intermediate",
  "intermediate_certificate_authority": "example-intermediate-CA"
}' \  
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations/example-root-CA/actions"

Etapa 1: Criar uma autoridade de certificação intermediária e solicitação de assinatura

É possível criar um certificado de autoridade de certificação intermediária que usa assinatura externa na IU do Secrets Manager.

1. No console, clique no ícone Menu > Lista de Recursos.

2. Na lista de serviços, selecione sua instância do Secrets Manager.

3. Na página Mecanismos de segredos, clique na guia Certificados privados.

4. Na tabela Autoridades de certificação, clique em Criar autoridade de certificação para iniciar o assistente de criação.

5. Especificar o tipo de autoridade de certificação e as opções.

   1. Selecione Autoridade de certificação intermediária como o tipo de Autoridade.
   2. Selecione Assinatura externa.
   3. Digite um nome para identificar facilmente sua autoridade de certificação.
   4. Selecione um tempo de vida máximo (TTL) para o certificado a ser gerado para esta autoridade de certificação. O TTL determina por quanto tempo o certificado da autoridade de certificação permanece válido.
   5. Para codificar a URL do certificado da autoridade de certificação emissora em certificados de entidade final, configure a opção Codificar URL como Ativado.

6. Insira os campos de nome do assunto para o seu certificado da autoridade de certificação intermediária.

7. Selecione o serviço de gerenciamento de chaves. Escolha o serviço Secrets Manager para criar as chaves de autoridade de certificado raiz internamente pelo serviço ou escolha Hyper Protect Crypto Services (HPCS). Caso o HPCS seja selecionado, execute as seguintes tarefas:

   1. Selecione sua instância HPCS ou digite o CRN da instância HPCS manualmente

   2. Selecione o segredo de credenciais do IAM que foi criado anteriormente para autenticação com o HPCS.

      Uma vez que a credencial do IAM tenha sido definida na configuração da CA, ela não poderá ser substituída posteriormente.

   3. Selecione o repositório de chaves privado HPCS na lista de repositórios de chaves ou digite a ID do repositório de chaves manualmente.

   4. Escolha usar as chaves existentes ou gerar novas chaves. No caso de selecionar uma chave privada HPCS existente ou inserir um ID de chave privada manualmente, certifique-se de que exista uma chave pública e que ela tenha o mesmo ID da chave privada no repositório de chaves privadas.

      Se você optar por gerar novas chaves, essas chaves não serão excluídas pelo site Secrets Manager caso a configuração seja excluída.

8. Selecione o algoritmo de chave que você deseja usar para gerar a chave pública e privada para o seu certificado de autoridade de certificação.

9. Determine se irá ativar os pontos de construção e distribuição da lista de revogação de certificado (CRL) para o seu certificado de autoridade de certificação.

   Uma CRL é uma lista de certificados que foram revogados pela autoridade de certificação emissora antes de sua data de expiração planejada. Um certificado que é listado como parte de uma CRL não pode mais ser confiável por aplicativos.

   1. Para criar uma CRL para sua CA intermediária com cada solicitação de certificado, defina a opção de criação de CRL como Ativado.
   2. Para codificar a URL da lista de revogação no certificado da autoridade de certificação intermediária, configure a opção Pontos de distribuição de CRL como Ativado.
   3. Selecione um tempo de vida (TTL) da CRL gerada. O TTL determina por quanto tempo a CRL permanece válida.

10. Revise suas seleções. Para criar a autoridade de certificação intermediária, clique em Criar.

A autoridade de certificação intermediária é incluída na sua lista de configurações para a sua instância com um status Assinatura requerida. Antes de usar esta autoridade de certificação intermediária para emitir certificados privados, deve-se assiná-lo usando o certificado da autoridade de certificação pai que você criou em seu sistema PKI externo.

Etapa 2: Assine uma autoridade de certificação intermediária com uma autoridade de certificação externa

Quando você cria uma CA intermediária em Secrets Manager que deseja assinar usando uma CA externa, é gerada uma solicitação de assinatura de certificado(CSR)Uma mensagem eletrônica que uma organização envia para uma autoridade de certificação (CA) para obter um certificado. O pedido inclui uma chave pública e recebe uma chave privada; o CA retorna o certificado depois de assinar com sua própria chave privada.. É possível usar o CSR para assinar e emitir seu certificado de autoridade de certificação intermediária.

1. Na IU do Secrets Manager, acesse Mecanismos de segredos > Certificados privados.

2. Na linha da autoridade de certificação intermediária que você deseja assinar, clique no menu Ações > Assinar certificado.

3. Copie ou faça download do CSR.

4. Use o CSR para assinar seu certificado de autoridade de certificação intermediária.

   É possível escolher entre várias ferramentas, como openssl, para assinar um arquivo CSR. Por exemplo, o comando openssl a seguir considera um arquivo CSR que você transferiu por download por meio do Secrets Manager e usa um arquivo de autoridade de certificação codificado por PEM e sua chave privada associada para emitir um certificado de autoridade de certificação assinado.

   openssl x509 -req -in <intermediate-ca-csr-file> -CA <external-parent-ca-file> -CAkey <external-ca-key-file> -out <signed-intermediate-ca-file>
   

   O comando gera a saída de um arquivo de certificado autoridade de certificação intermediária assinado que pode, então, ser importado para a sua instância do Secrets Manager para concluir o processo de assinatura.

Etapa 3: Importar um certificado de autoridade de certificação intermediária assinado para a sua instância

Depois de assinar um certificado de autoridade de certificação intermediária usando uma autoridade de certificação pai externa, é possível importá-lo para sua instância usando a IU do Secrets Manager.

1. Na IU do Secrets Manager, acesse Mecanismos de segredos > Certificados privados.

2. Na linha da autoridade de certificação intermediária que você assinou, clique no menu Ações > Assinar certificado.

3. Selecione ou digite o arquivo do certificado de autoridade de certificação intermediária assinado que você assinou na etapa anterior.

4. Clique em Assinar para concluir o processo de assinatura externa.

   A autoridade de certificação intermediária assinada é incluída na sua lista de configurações para a sua instância com um status Ativo. Agora é possível usar esta autoridade de certificação intermediária para criar certificados privados para seus aplicativos. Para modificar ou remover uma configuração existente, clique no menu Ações na linha da autoridade de certificação que deseja atualizar.

Etapa 1: Criar uma autoridade de certificação intermediária e solicitação de assinatura

O exemplo a seguir mostra uma consulta que pode ser usada para criar uma CA intermediária com assinatura externa. No corpo da solicitação, configure o valor do atributo signing_method como external.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
  "config_type": "private_cert_configuration_intermediate_ca",
  "name": "example-intermediate-CA",
  "common_name": "example.com",
  "crl_disable": false,
  "crl_distribution_points_encoded": true,
  "crl_expiry": "72h",
  "issuer": "example-root-CA",
  "issuing_certificates_urls_encoded": true,
  "max_ttl": "26300h",
  "signing_method": "external"
}' \  
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations"

Se você estiver trazendo seu próprio HSM, inclua o seguinte na solicitação:

"crypto_key": {
    "label": "my_key",
    "allow_generate_key": true,
    "provider": {
      "type": "hyper_protect_crypto_services",
      "instance_crn": "replace_with_hpcs_crn::",
      "pin_iam_credentials_secret_id": "replace_with_iam_credentials_secret_guid",
      "private_keystore_id": "replace_with_keystore_id"
    }
  }

Copie o CSR dos dados JSON de resposta. O valor CSR é aninhado no valor do atributo data da resposta. Também é possível usar a API get configuration para obter a CSR dos dados da CA intermediária recém-criada.

Etapa 2: Assine uma autoridade de certificação intermediária com uma autoridade de certificação externa

Use o CSR copiado na etapa 1 para assinar seu certificado de autoridade de certificação intermediário. Coloque o CSR em um arquivo a ser usado para assinatura

É possível escolher entre várias ferramentas, como openssl, para assinar um arquivo CSR. Por exemplo, o comando openssl a seguir pega um arquivo CSR e usa um arquivo CA codificado em PEM e sua chave privada associada para emitir um certificado CA assinado.

openssl x509 -req -in <intermediate-ca-csr-file> -CA <external-parent-ca-file> -CAkey <external-ca-key-file> -out <signed-intermediate-ca-file>

O comando gera um arquivo de certificado assinado que você pode importar em sua configuração de CA intermediária para concluir o processo de assinatura.

Se a autoridade de certificação pai for uma autoridade de certificação raiz ou uma autoridade de certificação intermediária de outra instância do Secrets Manager, será possível assinar a CSR usando a ação sign-csr. O exemplo a seguir mostra uma consulta que você pode usar para assinar o CSR.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
  "action_type": "private_cert_configuration_action_sign_csr",
  "csr": "-----BEGIN CERTIFICATE REQUEST-----\nMIICiDCCAXACAQAwGDEWMBQGA1UEAxMNct5ANo8jybxCwNjHOA==\n-----END CERTIFICATE REQUEST-----"
}' \  
  "https://{other_instance_ID}.{other_instance_region}.secrets-manager.appdomain.cloud/api/v2/configurations/example-intermediate-CA/actions"

Copie o valor do campo certificate da resposta para usá-lo na próxima etapa.

Etapa 3: importar uma CA intermediária assinada em sua configuração de CA intermediária

Depois de assinar um certificado de CA intermediária usando uma CA pai externa, você pode importá-lo para a configuração da CA intermediária usando a ação set-signed. O exemplo a seguir mostra uma consulta que você pode usar para importar o certificado assinado externamente.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
  "action_type": "private_cert_configuration_action_set_signed",
  "certificate": "-----BEGIN CERTIFICATE-----\nMIIGRjCCBS6gAwIBAgIUSKW6zI+E9JU4bva\n-----END CERTIFICATE-----"
}' \  
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations/example-intermediate-CA/actions"

Etapa 1: Criar uma autoridade de certificação intermediária e solicitação de assinatura

Para criar uma CA intermediária e uma solicitação de assinatura por meio da CLI do Secrets Manager, execute o comando ibmcloud secrets-manager configuration-create. No protótipo de configuração, configure o valor do atributo signing_method como external. Use a opção --output json para obter uma resposta completa que inclua o valor do atributo csr Por exemplo, o comando a seguir cria uma CA intermediária com assinatura externa.

ibmcloud secrets-manager configuration-create --output json
   --configuration-prototype='{
      "config_type": "private_cert_configuration_intermediate_ca",
      "name": "example-intermediate-CA",
      "max_ttl": "26300h",
      "signing_method": "external",
      "crl_expiry": "72h",
      "crl_disable": false,
      "crl_distribution_points_encoded": true,
      "issuing_certificates_urls_encoded": true,
      "common_name": "example.com",
      "alt_names": [
         "alt-name-1","alt-name-2"
         ],
      "ip_sans": "127.0.0.1",
      "uri_sans": "https://www.example.com/test",
      "other_sans": ["1.2.3.5.4.3.201.10.4.3;utf8:test@example.com"],
      "format": "pem",
      "private_key_format": "der",
      "key_type": "rsa",
      "key_bits": 4096,
      "exclude_cn_from_sans": false
   }'

Copie o CSR dos dados JSON de resposta. O valor CSR é aninhado no valor do atributo data da resposta. Também é possível obter os dados da CA intermediária recém-criada executando o comando ibmcloud secrets-manager configuration com a opção --output json. Por exemplo:

ibmcloud secrets-manager configuration --name example-intermediate-CA --output json