Lamassu IoT DocsPKI
Administra claves y autoridades, define la emisión y verifica los certificados resultantes.
El bloque PKI explica cómo construir y operar la confianza X.509 de Lamassu: qué autoridades emiten, qué reglas aplican y cómo se comprueban los certificados. Está dirigido al administrador PKI y a quien necesita utilizar certificados en un sistema consumidor.
Empieza aquí
Sigue Primeros pasos de PKI para crear una CA, emitir un certificado de cliente y verificarlo con OpenSSL. El resultado es un certificado, su clave privada y una cadena comprobada.
Puedes completar ese recorrido antes de gestionar dispositivos. Cuando necesites asociar la identidad a un inventario o automatizar su enrolamiento, continúa en IoT Fleets.
Qué necesitas
- Una instancia accesible y permisos para gestionar las claves, CAs y certificados que usarás.
- Un motor criptográfico disponible para custodiar la clave de la autoridad.
- El propósito del certificado: por ejemplo, autenticar un cliente mediante mTLS.
- Los requisitos del consumidor: emisores aceptados, algoritmos, nombres y usos permitidos.
La configuración de la instancia y del proveedor criptográfico se prepara en Despliegue. La elección de jerarquía se explica en el modelo de confianza.
Capacidades principales
Construye tu jerarquía de confianza
Las autoridades firman certificados. Una raíz establece el ancla de confianza y una intermedia permite separar la emisión por entorno o propósito. La jerarquía y rotación explica cómo mantener esa confianza al sustituir una autoridad.
Protege las claves criptográficas
Las claves de firma de las CAs se gestionan mediante KMS y motores criptográficos. La clave de un cliente que genera una CSR puede permanecer en ese cliente: conserva su custodia al elegir el método de emisión.
Emite y controla certificados
Un perfil establece restricciones de sujeto, validez, usos y claves. La CA aplica la configuración de emisión y firma el certificado. En el inventario puedes inspeccionar el resultado, descargarlo y gestionar su estado.
Publica el estado de validación
La validación reúne cadena, vigencia, usos y estado de revocación. Lamassu publica estado mediante OCSP y CRL; el consumidor configura qué emisores reconoce y cómo comprueba ese estado.
Cómo comprobar el resultado
Un certificado activo en la consola es una parte de la comprobación. Revisa también que:
- su sujeto y sus extensiones identifiquen al cliente esperado;
- su clave pública corresponda a la clave privada del cliente;
- su cadena alcance una raíz confiable para el consumidor;
- sus fechas y usos permitan la operación;
- el consumidor aplique la comprobación de revocación y su autorización.
El recorrido de emisión incluye las primeras comprobaciones independientes.