Emite y verifica un certificado

Emitirás un certificado final para device-001 mediante el flujo de generación de clave y CSR en el navegador. Al terminar conservarás device.crt, device.key y el certificado público de la raíz emisora, ca.pem.

Antes de empezar

Una CA raíz activa con clave de firma disponible y permisos para emitir. Si todavía no existe, sigue Crea tu primera CA.
Su certificado público en ca.pem; este ejemplo utiliza la raíz creada en el recorrido anterior.
OpenSSL 3.x y un directorio de trabajo con acceso restringido.
Un identificador para el cliente: aquí usaremos device-001.

Conserva la clave antes de cerrar el resultado

En este flujo la clave del cliente se genera en el navegador y debes descargarla al finalizar. Si la pierdes, tendrás que generar una clave y emitir otro certificado. El inventario de certificados permite descargar el certificado público, pero no recuperar esta clave.

Inicia la emisión

Abre la CA del recorrido anterior, entra en Issued Certificates y selecciona Issue New.

Elige el método

Selecciona Generate Key & CSR in Browser para seguir este ejemplo.

Si la clave debe generarse y permanecer en el sistema de destino, utiliza Upload Existing CSR, descrito en la guía de autoridades.

Identifica el certificado

Introduce device-001 como Common Name. Añade los datos de sujeto requeridos por tu política y SANs si el consumidor los utiliza para identificar al cliente.

Si vas a continuar con el registro manual, el Device ID será exactamente device-001.

Configura clave y usos

Elige un algoritmo y tamaño admitidos por el perfil; por ejemplo, ECDSA P-256 si está permitido. Para este certificado de cliente, selecciona Digital Signature y Client Authentication y emite como certificado final.

Solicita, por ejemplo, 30 días de validez, siempre dentro de la vigencia de la CA. Revisa el perfil de emisión si el contenido resultante difiere de lo solicitado.

Emite y descarga

Confirma la emisión. Guarda el certificado PEM como device.crt y la clave privada como device.key en el directorio preparado.

Verifica el resultado

Comprueba en Issued Certificates que el certificado aparece activo. Anota su número de serie y verifica el material descargado con las comprobaciones siguientes.

Inspecciona contenido y fechas

openssl x509 -in device.crt -noout -subject -issuer -serial -dates
openssl x509 -in device.crt -noout -text

Comprueba CN=device-001, el emisor esperado, fechas vigentes, Digital Signature y el uso extendido TLS Web Client Authentication. Debe ser un certificado final: no debe declarar CA:TRUE ni habilitar Certificate Sign. Si Basic Constraints está presente, debe indicar CA:FALSE. Si solicitaste SANs, revisa que los identificadores esperados aparezcan en el certificado.

Verifica la cadena

openssl verify -CAfile ca.pem -purpose sslclient device.crt

El resultado esperado es device.crt: OK. Esta comprobación utiliza tu raíz explícita y evalúa la cadena, las fechas y la compatibilidad con el propósito de cliente TLS. La presencia de los usos y nombres esperados se comprueba también mediante la inspección anterior.

Si utilizas una CA intermedia, la raíz confiable debe estar en ca.pem y debes aportar las intermedias mediante -untrusted intermediates.pem. Esta variante se desarrolla en el modelo de confianza.

El comando no consulta OCSP ni CRL. Para comprobar revocación, continúa con Validación de certificados. Consulta la referencia de openssl-verify para sus opciones.

Comprueba que la clave corresponde

En Bash, compara los dos resúmenes de clave pública:

(
  set -e -o pipefail
  openssl x509 -in device.crt -pubkey -noout \
    | openssl pkey -pubin -outform DER \
    | openssl dgst -sha256

  openssl pkey -in device.key -pubout -outform DER \
    | openssl dgst -sha256
)

Ambos comandos deben terminar correctamente y mostrar el mismo resumen SHA-256. Si difieren, la clave privada no corresponde al certificado seleccionado. Vuelve a localizar la pareja correcta antes de instalarla.

Las opciones utilizadas se recogen en openssl-x509 y openssl-pkey.

Si el resultado falla

Resultado	Qué revisar
La CA rechaza la emisión	Permisos, estado y clave de la CA, algoritmo y perfil.
Sujeto o usos diferentes	Perfil aplicado y valores solicitados.
No se encuentra el emisor	CA descargada y cadena intermedia necesaria.
Falla la vigencia	Fechas del certificado y de la CA, y reloj del equipo.
Los resúmenes de clave difieren	Archivos de certificado y clave de la misma emisión.

Consulta Diagnóstico PKI si necesitas acotar un fallo de emisión.

Siguiente paso

Has completado el recorrido PKI cuando el certificado verifica y su clave corresponde. Elige cómo utilizarlo:

Gestionar certificados para inspección, estado y revocación.
Registrar un dispositivo manualmente para asociar esta identidad al inventario de Lamassu.
Preparar EST para que el dispositivo solicite sus siguientes identidades.

La aceptación en un consumidor requiere configurar su confianza, su comprobación de revocación y los permisos concedidos a la identidad.

En esta página