Autoridades de certificación

Una autoridad de certificación (CA) vincula identidades con claves públicas mediante certificados firmados. En Lamassu puedes crear una jerarquía nueva, utilizar una clave que ya está en el KMS o incorporar una CA externa.

Para diseñar una cadena completa o sustituir una autoridad en producción, consulta Jerarquía y rotación de CAs. Si necesitas estandarizar qué puede firmar cada autoridad, utiliza Perfiles de certificado.

Para administrar CAs necesitas permisos sobre las autoridades y las claves, un motor accesible y un perfil revisado. La CA de un consumidor externo no queda confiada por aparecer en este inventario: acuerda por separado la distribución de su raíz y cadena.

Elige un flujo

Nueva CA y nueva clave: crea una raíz de confianza desde cero. Lamassu genera y custodia el par de claves.
Nueva CA desde KMS: reutiliza una clave que ya está registrada en la plataforma.
Importar CA con clave privada: incorpora una autoridad externa con la que Lamassu podrá emitir.
Importar solo el certificado: registra material público. Si Lamassu encuentra su clave en el KMS, puede asociarla; si no la encuentra, la CA queda sin clave utilizable para emitir.

¿Es tu primera vez? Sigue Crea tu primera CA para completar el recorrido mínimo.

Crea una autoridad nueva

Antes de empezar

Decide si la CA será raíz o intermedia.
Elige el motor que custodiará la clave.
Define una validez superior a la de los certificados que emitirá.
Para una CA intermedia, asegúrate de que la CA padre esté activa.

Abre el asistente

En Certification Authorities, selecciona Create New CA y elige generar un par de claves nuevo.

Configura la clave

Selecciona el motor criptográfico, el algoritmo y el tamaño o curva. Lamassu admite claves RSA y EC según las capacidades del motor.

Utiliza únicamente tamaños y curvas admitidos por el motor y por la política criptográfica del perfil. Consulta Claves y motores antes de reutilizar material externo.

Elige el tipo de CA

Selecciona Root CA para una autoridad autofirmada o Intermediate CA para una autoridad firmada por otra CA. En el segundo caso, elige la CA emisora.

Define la identidad

Introduce un CA Name único. Este nombre se convierte en el Common Name del certificado. Completa los campos del Distinguished Name que necesite tu política:

C: código de país ISO 3166-1 de dos letras.
ST: estado o provincia.
L: localidad.
O: organización.
OU: unidad organizativa.

El identificador interno de la CA se genera automáticamente y no se puede modificar.

Configura validez y usos

Define CA Certificate Expiration y Default End-Entity Certificate Issuance Expiration. Puedes expresar una duración (5y 8w 4d), seleccionar una fecha o utilizar la fecha máxima permitida.

Revisa por separado el certificado de la propia CA y el perfil predeterminado para lo que emitirá después. Elige una política explícita de emisión; no confíes en que los valores iniciales del formulario sean adecuados para tus consumidores.

Crea y verifica

Confirma el formulario y abre la CA. Comprueba estado, emisor, fechas, motor y clave asociados. Descarga el certificado: debe tener CA:TRUE y un uso que permita firmar certificados. Verifica la autofirma para una raíz o la cadena hasta tu raíz para una intermedia. Completa una emisión de prueba para comprobar que la clave realmente puede firmar.

Planifica la validez como una jerarquía

Planifica y verifica los vencimientos con las reglas de Perfiles. La emisión no recorta automáticamente la validez al vencimiento del emisor; deja margen para sustituir la autoridad y renovar las identidades.

Utiliza una clave del KMS

Selecciona Create New CA (Existing Key) cuando la clave ya esté registrada en Lamassu. El asistente pide primero la clave de soporte y después muestra la misma configuración de tipo, identidad, validez y perfil.

Este flujo resulta útil cuando la clave se creó previamente en un HSM, se importó mediante BYOK o debe reutilizarse con una política de custodia concreta.

Importa una CA externa

Necesitas el certificado de CA en PEM, su cadena hasta una raíz conocida y, si vas a importarla, una clave privada exportable. Antes de cargar el material, verifica firma, fechas, CA:TRUE, usos de firma y correspondencia de la clave pública. El procedimiento de verificación de claves también sirve para comparar la clave y el certificado de una CA.

Selecciona el motor

Comprueba el motor predeterminado de la instalación antes de importar una CA con clave. La operación de importación de CA delega la importación de la clave en ese motor; no garantiza selección de cualquier proveedor desde el formulario. Para seleccionar un motor al importar la clave por separado, utiliza el KMS.

Carga el material

Importa el certificado y, cuando corresponda, su clave PEM. Registra las CAs de la cadena necesarias para identificar al emisor. Tener una CA en el inventario no la instala en los almacenes de confianza externos.

Define la emisión predeterminada

Asocia un perfil de emisión explícito si la CA va a firmar. Comprueba sus usos y fechas según Perfiles.

Verifica la importación

Revisa el tipo registrado, la clave y el motor asociados y la relación con el emisor. Una importación sin clave puede asociarse a una clave ya existente en KMS mediante el identificador de clave del certificado. Si no existe una clave utilizable, la CA sirve como material público pero no puede firmar.

Para una CA emisora, completa una emisión de prueba y comprueba OCSP y CRL. El alta del registro por sí sola no demuestra disponibilidad de la clave, coherencia completa de la cadena ni publicación del estado.

Inspecciona una autoridad

Abre una CA desde el inventario para consultar:

Estado y periodo de validez.
Certificado y cadena en formato PEM.
Número de certificados activos, expirados y revocados.
Certificados emitidos en Issued Certificates.
CRL vinculada a la autoridad.
Metadatos y motor criptográfico asociado.

Puedes filtrar el inventario por nombre, estado y tipo de CA.

Emite certificados

Puedes iniciar una emisión desde Issued Certificates, desde la acción de una CA o desde el inventario global de certificados.

Generate Key & CSR in Browser resulta útil para una operación manual o una prueba rápida. El navegador genera la clave y debes descargarla al finalizar.

Upload Existing CSR es la opción adecuada cuando la clave debe permanecer en el sistema de destino. Lamassu recibe la solicitud, pero nunca la clave privada.

Sigue Emite tu primer certificado para el flujo guiado. La gestión de certificados explica el inventario, la inspección y la revocación.

Revoca una CA

La revocación afecta a toda la cadena dependiente

Revocar una CA impide que emita y puede interrumpir toda su rama. Solo CertificateHold permite reactivar la propia CA si no está expirada. Sus descendientes se intentan revocar con CessationOfOperation; reactivar el padre no restaura esos descendientes. Sigue las condiciones de revocación en cascada.

Evalúa el impacto

Identifica los certificados, dispositivos y consumidores que dependen de la CA. Prepara una autoridad y una cadena de sustitución cuando sea necesario.

Inicia la revocación

Abre la autoridad y selecciona Revoke CA. Elige la razón que describa el incidente, por ejemplo KeyCompromise, CACompromise, Superseded o CessationOfOperation.

Confirma la identidad

Escribe exactamente el nombre de la CA para habilitar Confirm Revocation.

Comprueba la publicación

Comprueba REVOKED en la CA y revisa los descendientes uno a uno; la propagación admite fallos parciales. Verifica por separado la publicación de OCSP y CRL y el rechazo por los consumidores. Un registro revocado no garantiza que una sesión existente se cierre.

La eliminación permanente solo está disponible después de revocar. Elimina el registro únicamente cuando la política de retención y auditoría lo permita.

En esta página