Primeros pasos de PKI

Este recorrido está dirigido a quien empieza a administrar la PKI o necesita una primera identidad X.509 de cliente. Termina con tres archivos: el certificado de una CA raíz, un certificado final y la clave privada de ese cliente.

Antes de empezar

Una instancia de Lamassu accesible desde el navegador. Si necesitas prepararla, consulta Despliegue.
Permisos para gestionar claves, autoridades y emisión. Consulta Control de acceso si una operación está bloqueada.
Un motor criptográfico disponible para la clave de la CA; comprueba el inventario de claves y motores.
OpenSSL 3.x en el equipo desde el que verificarás los archivos.
Un directorio de trabajo con acceso restringido para custodiar la clave descargada.

Ruta recomendada

1. Crea tu primera CA

Crea una raíz de evaluación y guarda su certificado público como ca.pem.

2. Emite y verifica un certificado

Emite para device-001 y comprueba contenido, cadena y correspondencia de clave.

Usaremos Acme Evaluation Root CA y device-001 como nombres de ejemplo. Si los sustituyes, conserva el mismo identificador de cliente en los pasos que quieras conectar.

La raíz de este recorrido firma directamente el certificado final para facilitar la evaluación. Antes de diseñar una PKI operativa, revisa el modelo de confianza y la jerarquía de CAs.

Resultado esperado

Archivo o recurso	Comprobación
CA raíz activa y `ca.pem`	Es un certificado de CA, está vigente y su autofirma se comprueba.
Certificado final y `device.crt`	Identifica a `device-001`, admite autenticación de cliente y verifica hasta `ca.pem`.
Clave privada `device.key`	Su clave pública coincide con la incluida en `device.crt`.

Estas comprobaciones validan el material emitido. La aceptación en un servicio requiere además su configuración de confianza, autorización y revocación.

Continúa según tu objetivo

Para operar certificados, continúa con Certificados y Validación.
Para gestionar una identidad de dispositivo en Lamassu, sigue Registro manual. Ese recorrido incluye la preparación del DMS.
Para que el dispositivo solicite su certificado, prepara el DMS y el cliente EST.