Renovación y recuperación

La renovación conserva el identificador del dispositivo y solicita un certificado sucesor. Es un proceso que debe completar el cliente: comprobar la respuesta, instalar la pareja correspondiente y demostrar que el consumidor la acepta. Las alertas de Lamassu avisan; no ejecutan esos pasos.

Prepara la renovación

• Consulta el certificado actual en Lamassu y compáralo con el instalado. Necesitas su sujeto, serie y fechas, además de la clave del cliente.
• Comprueba el modo de autenticación de re-enrollment: es independiente del inicial. En CLIENT_CERTIFICATE, utiliza la identidad actual, no asumas que la credencial bootstrap está admitida.
• Calcula el inicio de la ventana: NotAfter del certificado actual menos reenrollment_delta. Los umbrales preventivo y crítico producen estados/avisos; no amplían esa ventana.
• Revisa Revoke on Re-enrollment y la recuperación si la instalación falla. Si está habilitado, Lamassu puede revocar la identidad anterior antes de que el cliente instale la nueva.

Solicita el certificado sucesor

El ejemplo continúa el tutorial EST, en la misma sesión Bash con set -euo pipefail, umask 077 y EST_BASE. Usa una nueva clave compatible con el perfil. La conversión desde el certificado conserva el sujeto y copia solo SAN cuando existe; comprueba el sujeto y los nombres solicitados antes de enviarla. El backend comprueba el sujeto frente a la identidad actual: intenta igualdad de RawSubject y después compara CN, OU, O, L, ST y C. Volver a construir únicamente el CN puede perder atributos requeridos.

test ! -e device.next.key
test ! -e device.next.crt
openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-256 -out device.next.key
openssl x509 -x509toreq -in device.crt -key device.next.key -sha256 \
  -copy_extensions copy -ext subjectAltName -out device-renewal.csr
openssl req -in device-renewal.csr -verify -noout -subject
openssl req -in device-renewal.csr -outform DER -out device-renewal.csr.der
openssl base64 -A -in device-renewal.csr.der -out device-renewal.csr.b64
curl --fail-with-body --show-error --silent --max-time 30 \
  --cacert est-trust.pem --cert device.crt --key device.key \
  --header 'Content-Type: application/pkcs10' \
  --data-binary @device-renewal.csr.b64 \
  --dump-header renewal.headers --output renewal.b64 \
  "$EST_BASE/simplereenroll"
openssl base64 -d -in renewal.b64 -out renewal.p7b
openssl pkcs7 -inform DER -in renewal.p7b -print_certs -quiet -out device.next.crt
openssl verify -CAfile device-root.pem -purpose sslclient device.next.crt
openssl x509 -in device.next.crt -noout -subject -issuer -serial -dates
openssl x509 -in device.next.crt -pubkey -noout > next-certificate-public.pem
openssl pkey -pubin -in next-certificate-public.pem -outform DER -out next-certificate-public.der
openssl pkey -in device.next.key -pubout -outform DER -out next-key-public.der
cmp next-certificate-public.der next-key-public.der

La petición se autentica con device.crt y device.key; la CSR contiene la clave pública nueva. Comprueba también extensiones, fechas y correspondencia de serie con el slot actual en Lamassu. No vuelvas a enviar una solicitud que falló sin consultar ese estado: la emisión, la revocación anterior y la vinculación del sucesor pueden tener resultados parciales.

Instala y comprueba la nueva pareja

Conserva el resultado como device.next.crt y device.next.key hasta verificarlo. Cambia la pareja mediante una operación coordinada del almacén o configuración del dispositivo; evita exponer temporalmente un certificado con la clave de otra versión.

Prueba mTLS con el consumidor y verifica que utiliza la nueva serie. Confirma el historial y el certificado actual en Lamassu. Si Revoke on Re-enrollment estaba deshabilitado, la identidad anterior puede seguir válida: retírala conforme a la política de PKI después de probar el sucesor y comprueba la publicación y consumo de su revocación.

Si la identidad anterior ya está revocada, conservar sus archivos no permite restaurar una conexión válida. La recuperación requiere una credencial admitida y una intervención autorizada según la situación.

Recupera según el estado

Operación continua

Programa las renovaciones con margen para desconexiones, distribución de confianza y comprobación del consumidor. Escalona solicitudes de la población y limita los reintentos dentro de la ventana; los errores de autenticación, sujeto o política requieren corregir su causa. Conserva un mecanismo de recuperación admitido y probado para las claves perdidas y las parejas que no pudieron instalarse.

Continúa con Distribución de confianza, Dispositivos e identidades y Diagnóstico.