Lamassu IoT DocsJerarquía y rotación de CAs
Diseña autoridades raíz e intermedias y sustituye certificados o claves sin romper la confianza.
La jerarquía determina el alcance de cualquier error o compromiso. Una raíz firma CAs intermedias; las intermedias emiten las identidades que usan dispositivos y servicios. Esta separación permite aislar entornos y rotar una rama sin reemplazar toda la confianza.
Este procedimiento se dirige al operador PKI que sustituye una autoridad en uso. Necesitas acceso a las CAs, claves y perfiles, un inventario de dependencias y coordinación con quienes gestionan los almacenes de confianza y dispositivos. Antes de cambiar la emisión, prepara una cohorte de prueba y decide el criterio para cerrar el solapamiento.
Diseña la jerarquía
Para una instalación de producción, utiliza una raíz muy restringida y una o más intermedias operativas. Separa intermedias cuando cambie alguno de estos límites:
- entorno, como producción y preproducción;
- propietario o equipo operador;
- familia de dispositivos o proceso de fabricación;
- región o requisito regulatorio;
- motor criptográfico o política de clave;
- ventana de mantenimiento y ritmo de renovación.
Evita jerarquías profundas sin una necesidad concreta. Cada nivel añade distribución de cadena, validación y otro certificado que debes renovar.
La validez desciende por la jerarquía
Una CA hija y los certificados finales deben expirar antes que su emisor. Reserva un margen que permita distribuir otra cadena y renovar los certificados dependientes.
Reemisión y rotación no son lo mismo
Reemitir una CA crea un certificado nuevo sobre la clave existente. Lamassu genera una CSR con esa clave, autofirma si es una raíz o pide a la CA padre que firme si es subordinada. El nuevo certificado queda activo y la CA apunta a su número de serie; los certificados anterior y nuevo quedan enlazados mediante metadatos.
Rotar una CA crea una clave y una autoridad sucesoras. Es la opción adecuada ante compromiso, cambio criptográfico, migración de motor o política de claves no exportables.
Lamassu no permite reemitir una CA ya revocada ni una CA cuya fecha de expiración haya pasado. Anticípate a ambas condiciones.
Cuándo elegir cada operación
- Reemite si la clave sigue siendo confiable y solo necesitas otro periodo de validez o un certificado actualizado.
- Rota la clave si existe sospecha de compromiso, cambia el algoritmo o quieres mover la custodia a otro motor.
- Crea una rama paralela si no puedes actualizar todos los consumidores al mismo tiempo.
- Revoca inmediatamente solo cuando el riesgo de mantener la CA supera el impacto de interrumpir la flota.
Procedimiento de rotación de clave
Inventaría las dependencias
Localiza CAs hijas, certificados emitidos, DMS, conectores y almacenes de confianza externos. Incluye dispositivos que pueden permanecer desconectados durante semanas o meses.
Crea la CA sucesora
Genera una clave nueva en el motor previsto, crea la CA y asígnale un perfil explícito. No reutilices el identificador operativo para ocultar que es una generación distinta.
Distribuye la nueva confianza
Añade la nueva raíz o cadena a los consumidores antes de emitir con ella. Si distribuyes mediante EST /cacerts, incluye explícitamente las CAs gestionadas necesarias y comprueba el contenido; no presupongas que incluir la CA emisora añade todas sus intermedias. Instala la nueva confianza en una cohorte y verifica que también sigue aceptando la identidad anterior.
Cambia la emisión
Actualiza la CA de enrolamiento y el perfil de los DMS. Mientras sigan renovando cohortes con certificados antiguos, añade la CA de enrolamiento anterior a las CAs de validación de re-enrolamiento (reenrollment_settings.est_rfc7030_settings.client_certificate_settings.validation_cas) de cada DMS: la nueva CA de enrolamiento se considera confiable automáticamente, pero la antigua era la CA de enrolamiento y no figura en ninguna lista de confianza de re-enrolamiento, así que sin esa entrada sus certificados ya no podrán renovarse. La guía DMS documenta ese ajuste.
Renueva por lotes
Migra una cohorte pequeña, valida mTLS, OCSP y CRL desde el consumidor y amplía progresivamente. Supervisa qué dispositivos siguen presentando la cadena antigua.
Cierra el solapamiento
Cuando ningún consumidor legítimo dependa de la autoridad anterior, retírala de la emisión, de las CAs de validación de re-enrolamiento y de las CAs distribuidas. Revócala si la política lo exige.
Revocación en cascada
Lamassu guarda la revocación de la CA y después intenta revocar sus CAs hijas y certificados emitidos con CessationOfOperation. La propagación continúa recursivamente por las hijas. No es una transacción sobre toda la jerarquía: puede haber recursos ya modificados y otros cuya actualización haya fallado.
Los recursos en estado EXPIRED y los ya revocados por una razón definitiva no admiten otra transición de estado. Los errores por descendiente se registran; revisa el inventario y los registros aunque la operación sobre el padre haya terminado.
CertificateHold permite reactivar el padre mientras no esté expirado, pero no restaura las hijas ni los certificados revocados definitivamente durante la cascada. Por eso suspender una CA tampoco sirve como pausa reversible de toda la rama.
Antes de cerrar el cambio, contrasta el listado de dependencias inicial con los estados finales y verifica la publicación de revocación en cada emisor. No utilices la revocación como mecanismo ordinario para dejar de emitir: completa la migración y retira la CA de los flujos operativos.
Comprobaciones después del cambio
- La cadena nueva termina en un ancla instalada por el consumidor.
- Los certificados nuevos contienen AKI, SKI, KU, EKU y SAN esperados.
- El DMS entrega la cadena correcta mediante EST
/cacerts. - El re-enrolamiento acepta la identidad antigua durante el periodo previsto.
- OCSP y CRL responden para las autoridades que siguen activas.
- No quedan DMS emitiendo accidentalmente desde la CA anterior.
Consulta el Modelo de confianza para entender los conjuntos de CAs del DMS y Ciclo de vida de un certificado para los estados y efectos de revocación.