Lamassu IoT DocsPerfiles de certificado
Define políticas reutilizables para emitir certificados coherentes y limitar las claves aceptadas.
Un perfil de emisión convierte una política de certificados en configuración reutilizable. En lugar de decidir validez, sujeto, extensiones y algoritmos en cada solicitud, defines una vez qué está permitido y asocias el perfil a una CA, un DMS o una emisión concreta.
Esta guía se dirige al administrador PKI que define la política de emisión. Necesitas permisos para gestionar perfiles y asociarlos a la CA o DMS previstos, además de un consumidor de prueba con requisitos de identidad y uso conocidos.
Qué controla un perfil
Validez
Puedes expresar la vigencia como una duración desde el momento de emisión o como una fecha final fija. Una duración funciona bien para identidades recurrentes; una fecha común sirve para hacer que todo un lote termine antes de una migración o retirada.
Planifica la fecha final dentro de la vigencia de la CA emisora y deja margen para renovar. El firmador calcula la fecha desde el perfil; no recorta automáticamente la validez al vencimiento del emisor. Comprueba ambas fechas en el certificado resultante. Una fecha fija ya pasada tampoco representa una identidad utilizable.
Certificado de CA o certificado final
Sign as CA establece IsCA y las restricciones básicas necesarias para una autoridad. Actívalo solo en perfiles destinados a crear o reemitir CAs subordinadas.
Key Usage y Extended Key Usage
El perfil puede imponer usos como DigitalSignature, KeyEncipherment, CertSign, CRLSign, ClientAuth, ServerAuth u OCSPSigning.
Si activas Honor Key Usage o Honor Extended Key Usages, Lamassu conserva los valores solicitados por la CSR. Si los desactivas, los sustituye por los definidos en el perfil.
Honor significa delegar parte de la política
No habilites las opciones Honor… para solicitudes no confiables salvo que otro componente valide esos campos. De lo contrario, el solicitante puede elegir capacidades más amplias de las previstas.
Sujeto
Con Honor Subject, el certificado conserva el sujeto de la CSR. Sin esa opción, Lamassu aplica CN, O, OU, C, ST y L del perfil. Si el perfil no define Common Name, se conserva el CN solicitado.
Extensiones de la CSR
Con Honor Extensions, Lamassu filtra las extensiones adicionales solicitadas y conserva únicamente SAN. Sin esa opción, descarta las extensiones adicionales de la CSR.
Esto conserva SAN, pero no comprueba que el solicitante tenga derecho a utilizar esos DNS, IP, correos o URI. Valida esa autorización antes de emitir. Los puntos OCSP y CRL proceden de la configuración del servicio de emisión; Honor Extensions no copia los puntos de distribución de la CSR.
Restricciones criptográficas
La aplicación criptográfica puede:
- permitir o bloquear claves RSA;
- limitar los tamaños RSA admitidos;
- permitir o bloquear claves ECDSA;
- limitar los tamaños o curvas ECDSA admitidos.
Cuando está habilitada, Lamassu comprueba la clave pública antes de crear una CA o firmar una CSR. Una clave cuyo tipo o tamaño no figure en el perfil se rechaza.
Precedencia del perfil
La resolución depende del punto de entrada. Se selecciona un perfil completo; sus campos no se fusionan con los del perfil de la CA.
| Operación | Primera opción | Segunda opción | Si no hay ninguna |
|---|---|---|---|
| Firma directa con una CA | issuance_profile incluido en la solicitud | issuance_profile_id de la solicitud | Perfil predeterminado de la CA (profile_id). |
| Emisión mediante DMS | settings.issuance_profile_id | settings.issuance_profile incluido en el DMS | Perfil predeterminado de la CA de enrolamiento. |
Si el identificador seleccionado no puede resolverse, la operación falla; no se sustituye silenciosamente por el perfil de la CA. Evita definir las dos opciones a la vez. Registrar qué perfil se seleccionó facilita explicar por qué el resultado difiere de la CSR.
Varias flotas pueden compartir CA y mantener perfiles distintos mediante sus DMS. La autenticación del solicitante y la política de registro del dispositivo se configuran aparte en DMS.
Crea un perfil
Define un único propósito
Separa, por ejemplo, dispositivos mTLS, servidores y CAs intermedias. Un perfil pequeño y específico es más fácil de revisar que uno que permita todos los usos.
Elige la validez
Alinea la duración con la capacidad real de renovación de la flota. Deja margen respecto a la expiración de la CA.
Fija usos y sujeto
Para un dispositivo que se autentica como cliente, el punto de partida habitual es DigitalSignature y ClientAuth. Añade ServerAuth o KeyEncipherment solo si el protocolo lo necesita.
Restringe las claves
Habilita la aplicación criptográfica y enumera únicamente algoritmos y tamaños compatibles con tu política y tus dispositivos.
Asócialo y prueba
Asocia el perfil a una CA o DMS y verifica la precedencia anterior. Emite una CSR con usos y SAN conocidos; inspecciona el resultado con openssl x509 -in device.crt -noout -text. Comprueba sujeto, SAN, KU, EKU y fechas. Para una identidad final, Sign as CA debe estar desactivado, no debe aparecer CA:TRUE ni Certificate Sign; si existe Basic Constraints, debe indicar CA:FALSE.
Prueba también una clave excluida por la política: la emisión debe rechazarse. Sigue la verificación del certificado y prueba su aceptación en el consumidor previsto.
Ejemplos de diseño
Dispositivo mTLS
Certificado final, validez corta, DigitalSignature, ClientAuth, sujeto controlado por el DMS y SAN permitido cuando identifica al dispositivo.
Servidor TLS
Certificado final, DigitalSignature, ServerAuth y SAN obligatorio con los nombres que utilizarán los clientes.
CA intermedia
Sign as CA, CertSign y CRLSign, validez superior a sus certificados finales y restricciones criptográficas más exigentes.
Estos patrones expresan decisiones de diseño. Activar Honor Extensions no exige que la CSR incluya SAN ni valida sus nombres; debes hacer esa comprobación en el flujo de solicitud. El perfil tampoco instala confianza ni concede permisos en el consumidor.
Cambios y eliminación
Actualizar un perfil afecta a emisiones futuras; no modifica certificados ya firmados. Prueba los cambios antes de aplicarlos a una CA en producción y conserva la justificación operativa.
Antes de eliminar un perfil, comprueba que ninguna CA o DMS dependa de él. Si deseas sustituirlo, crea la versión nueva, actualiza las referencias y realiza una emisión de prueba antes de retirar el anterior.