Dispositivos e identidades

Esta guía se dirige al operador de una flota. Necesitas permisos sobre dispositivos, DMS y certificados para las acciones que vayas a realizar. Una flota se organiza mediante esos recursos, etiquetas y metadatos; no se crea un objeto independiente de «flota».

Cada dispositivo tiene un Device ID, un DMS propietario (dms_owner) y, cuando está aprovisionado, un slot de identidad con una versión activa y versiones anteriores. En los flujos descritos, mantén el Common Name de la CSR y del certificado igual al Device ID: la vinculación utiliza ese CN para actualizar el dispositivo.

Estados del dispositivo

Vista operativa	Interpretación
No Identity	Hay registro, pero todavía no hay identidad asociada.
Active	El slot está activo; comprueba además las fechas, estado y usos del certificado.
Renewal Pending	La identidad está en la ventana operativa de renovación.
Expiring Soon	Se aproxima al vencimiento según los umbrales configurados.
Expired	La identidad ha vencido.
Revoked	La identidad está marcada como revocada.
Decommissioned	El registro está retirado y no vuelve al estado operativo mediante una actualización normal.

Los estados de dispositivo, slot y certificado son distintos. Los eventos y trabajos pueden actualizar la vista después de guardar el certificado; una etiqueta Active no prueba aceptación por un consumidor.

Inspecciona un dispositivo

Filtra el inventario por ID, etiquetas y estado. Abre el detalle y registra DMS propietario, versión activa y serie del certificado actual.

Certificate History relaciona versiones anteriores y actuales. Sustituir el slot no revoca por sí solo todas las versiones anteriores.
Device Event Timeline ayuda a reconstruir altas, aprovisionamientos, renovaciones y cambios de estado. Un cambio puede haberse guardado aunque falle la persistencia de su evento; contrasta también el registro y los certificados.

Compara esos datos con la identidad instalada en el dispositivo. Un slot actualizado en Lamassu no instala archivos en el equipo remoto.

Registra un dispositivo manualmente

Utiliza este flujo para preparar inventario o asignar una identidad desde la consola. Necesitas un DMS existente.

Crea el dispositivo

Desde Managed Devices, abre el registro. Confirma que el ID no exista en otro DMS: la búsqueda por ID no está limitada a una flota.

Define su pertenencia

Introduce el Device ID y selecciona el DMS que será su propietario. La etiqueta Registration Authority de la consola se refiere a ese DMS.

Clasifica el dispositivo

Añade icono y etiquetas de modelo, entorno o ubicación según tu inventario.

Verifica el alta

Vuelve a leer el dispositivo: debe tener el DMS previsto y estar en No Identity. Sigue Registro manual para completar la asignación.

Prerregistrar no demuestra que /simpleenroll vaya a admitir la solicitud. Revisa la interacción con enable_replaceable_enrollment en Estrategias de aprovisionamiento.

Asigna una identidad manualmente

Desde No Identity, utiliza Assign Identity:

Elige un certificado activo, vigente y adecuado para el consumidor, con CN exactamente igual al Device ID.
Si no existe, Issue New Instead permite iniciar una emisión con la CA prevista. Revisa primero el perfil.
Confirma y vuelve a consultar serie, versión activa e historial.
Instala la pareja clave/certificado y las intermedias necesarias en el dispositivo, y prueba su uso.

Emitir, vincular e instalar son pasos distintos. Si falla la operación, comprueba cuáles se guardaron antes de repetirla.

Revoca la identidad actual

Localiza la serie activa en el historial y revócala con una razón apropiada. Comprueba registro, publicación OCSP/CRL y rechazo de una conexión nueva en el consumidor con la guía de certificados.

La revocación no elimina el dispositivo. Tampoco habilita automáticamente una nueva inscripción: la recuperación depende de su credencial, estado y política DMS. CertificateHold puede reactivarse bajo las condiciones de PKI; otras razones bloquean cambios posteriores del certificado.

Retira un dispositivo

Antes de Decommission, inventaría identidades activas y anteriores, conexiones y permisos del destino. Prepara su retirada en el consumidor.

El backend guarda Decommissioned e intenta revocar el certificado de la versión activa con CessationOfOperation si el slot no estaba expirado o revocado. No recorre todo el historial. La revocación diferida puede fallar después de guardar la baja; verifica su resultado por serie.

Comprueba la retirada completa

El estado retirado protege las actualizaciones normales del dispositivo y su slot. No constituye una garantía de que toda solicitud EST sea rechazada antes de emitir: la vinculación puede omitir un dispositivo retirado sin devolver error. Confirma que no quedan certificados o permisos utilizables y bloquea nuevas admisiones en el control correspondiente.

Conserva los registros según tu política de auditoría. No reutilices un ID retirado para ocultar el cambio de equipo.