Certificados

Esta guía sirve al operador PKI que necesita inspeccionar o retirar una identidad ya emitida. Necesitas acceso al inventario y, para cambiar estados, permisos sobre el certificado. Abre Certificates para una vista global o Issued Certificates dentro de una CA para limitarla a ese emisor.

Busca un certificado

Filtra por Common Name, serie, estado y autoridad emisora. Usa Quick Inspect para una revisión rápida o View Details para sujeto, SAN, usos, cadena, fechas y metadatos.

Identifica el certificado por emisor y número de serie; un nombre puede corresponder a varias renovaciones. Comprueba cuál utiliza realmente el consumidor y cuál ocupa la identidad activa del dispositivo. El historial de identidades y el inventario de certificados responden preguntas distintas.

Descarga el certificado

Descarga el PEM e inspecciónalo:

openssl x509 -in device.crt -noout -subject -issuer -serial -dates
openssl x509 -in device.crt -noout -text

Comprueba la política de emisión, cadena y usos con el recorrido de verificación. El certificado no contiene su clave privada. Para una CSR externa, esa clave permanece donde se generó; para el flujo de navegador, conserva el archivo descargado al completar la emisión. Si has perdido la clave, planifica una identidad nueva en lugar de esperar recuperarla desde el certificado.

Emite desde una CSR existente

Utiliza este flujo cuando la clave de la identidad debe permanecer en el sistema que la generó. Necesitas una CA activa con clave utilizable, una CSR PEM y un perfil apropiado.

1. Verifica la solicitud con openssl req -in request.csr -noout -verify -text. Revisa sujeto, SAN y algoritmo, y autoriza la identidad solicitada.
2. Inicia la emisión desde la CA o el inventario y selecciona Upload Existing CSR.
3. Confirma la CA y el perfil que se resolverá según Perfiles; la solicitud no garantiza que todos sus campos se conserven.
4. Descarga el certificado e inspecciona fechas, emisor, sujeto, SAN, KU y EKU. Comprueba su correspondencia con la clave privada en el sistema de origen.
5. Instala certificado y cadena en el consumidor previsto y prueba una conexión. Emitir no registra por sí solo un dispositivo ni concede acceso en una integración.

Para generar la clave en el navegador, sigue Emite tu primer certificado.

Revoca un certificado

Revoca cuando la clave se haya comprometido, el sujeto ya no esté autorizado o la identidad deba dejar de aceptarse antes de expirar. Antes de cambiar el estado, identifica los consumidores y prepara la sustitución necesaria.

La revocación no borra el certificado, no elimina la clave ni garantiza cierre de sesiones existentes. El estado y su publicación son pasos distintos.

Reactiva una suspensión

Comprueba que la razón guardada es CertificateHold y que la identidad todavía cumple tu política. Solicita ACTIVE mediante la operación de actualización de estado que exponga tu instalación; consulta la Referencia API. No supongas que cambiar permisos del consumidor cambia también el estado en Lamassu.

Vuelve a consultar el registro y OCSP. Con regenerate_on_revoke habilitado, el evento de reactivación solicita regeneración de la CRL: verifica que la nueva lista omite la serie. Una lista anterior puede seguir marcándola como revocada hasta que el cliente renueve su copia.

Esto no revierte una revocación definitiva ni la cascada iniciada al revocar una CA.

Continúa