Lamassu IoT DocsCrea tu primera CA
Crea una raíz de evaluación y comprueba su certificado antes de emitir.
Crearás una autoridad raíz con una clave nueva custodiada por un motor de Lamassu. Al terminar tendrás una CA activa y su certificado público en ca.pem, preparado para verificar la emisión del siguiente recorrido.
Antes de empezar
- Acceso a la consola y permisos para crear claves y autoridades.
- Un motor criptográfico disponible que admita el algoritmo elegido.
- OpenSSL 3.x para comprobar el certificado descargado.
Utiliza una instancia de evaluación o una autoridad destinada a estas pruebas. El ejemplo crea una raíz que emite directamente; para diseñar una jerarquía operativa, consulta Jerarquía y rotación.
Abre el asistente de creación
En Certification Authorities, selecciona Create New CA y elige crear una CA con un par de claves nuevo.
El flujo Create New CA (Existing Key) se explica en la guía de autoridades.
Selecciona la clave
Elige el motor que custodiará la clave y un algoritmo permitido por sus capacidades. Para este ejemplo puedes utilizar EC P-384 si está disponible.
La clave privada de la CA se utiliza a través del motor. En este recorrido descargarás únicamente el certificado público de la autoridad.
Define la autoridad
Selecciona Root CA y completa:
- CA Name:
Acme Evaluation Root CA. - Subject: los datos de organización y país de tu evaluación.
- CA Certificate Expiration: por ejemplo, un año desde la creación.
- Default End-Entity Certificate Issuance Expiration: por ejemplo, 90 días, dentro de la vigencia de la CA.
El nombre de la CA se utilizará como Common Name. Mantén los usos de CA necesarios para firmar certificados y CRLs.
Revisa y crea la CA
Comprueba motor, algoritmo, sujeto, tipo raíz y fechas. Confirma la creación y anota el identificador de la autoridad para reconocerla en el DMS o en la API.
Verifica el resultado
Abre la nueva CA. Debe aparecer activa, mostrar su certificado y permitir acceder a Issued Certificates.
Descarga o copia el certificado PEM de la autoridad y guárdalo como ca.pem. Comprueba que el archivo contiene el bloque completo, incluidos BEGIN CERTIFICATE y END CERTIFICATE.
Comprueba el certificado de CA
Ejecuta desde el directorio donde guardaste ca.pem:
openssl x509 -in ca.pem -noout -subject -issuer -dates
openssl x509 -in ca.pem -noout -text
openssl verify -CAfile ca.pem -check_ss_sig ca.pemComprueba que sujeto y emisor corresponden a la raíz creada, las fechas incluyen el momento actual, Basic Constraints contiene CA:TRUE y Key Usage permite firmar certificados. El último comando debe devolver ca.pem: OK.
Has elegido explícitamente ca.pem como ancla de esta prueba. Que la autofirma sea válida no instala esa confianza en otros consumidores. Consulta la referencia de openssl-verify para las opciones de comprobación.
Si el resultado falla
- Si la creación falla, comprueba permisos, disponibilidad del motor y algoritmo seleccionado.
- Si OpenSSL no lee el archivo, vuelve a copiar el bloque PEM completo.
- Si fallan la firma o las fechas, revisa que hayas descargado el certificado de esta CA y que el reloj del equipo sea correcto.
El diagnóstico PKI reúne las comprobaciones de emisión y dependencias criptográficas.
Siguiente paso
Continúa con Emite y verifica un certificado, utilizando esta autoridad y ca.pem.