Lamassu IoT DocsPerfiles de certificado
Define políticas reutilizables para emitir certificados coherentes y limitar las claves aceptadas.
Un perfil de emisión convierte una política de certificados en configuración reutilizable. En lugar de decidir validez, sujeto, extensiones y algoritmos en cada solicitud, defines una vez qué está permitido y asocias el perfil a una CA, un DMS o una emisión concreta.
Qué controla un perfil
Validez
Puedes expresar la vigencia como una duración desde el momento de emisión o como una fecha final fija. Una duración funciona bien para identidades recurrentes; una fecha común sirve para hacer que todo un lote termine antes de una migración o retirada.
La fecha final nunca debe superar la de la CA emisora.
Certificado de CA o certificado final
Sign as CA establece IsCA y las restricciones básicas necesarias para una autoridad. Actívalo solo en perfiles destinados a crear o reemitir CAs subordinadas.
Key Usage y Extended Key Usage
El perfil puede imponer usos como DigitalSignature, KeyEncipherment, CertSign, CRLSign, ClientAuth, ServerAuth u OCSPSigning.
Si activas Honor Key Usage o Honor Extended Key Usages, Lamassu conserva los valores solicitados por la CSR. Si los desactivas, los sustituye por los definidos en el perfil.
Honor significa delegar parte de la política
No habilites las opciones Honor… para solicitudes no confiables salvo que otro componente valide esos campos. De lo contrario, el solicitante puede elegir capacidades más amplias de las previstas.
Sujeto
Con Honor Subject, el certificado conserva el sujeto de la CSR. Sin esa opción, Lamassu aplica CN, O, OU, C, ST y L del perfil. Si el perfil no define Common Name, se conserva el CN solicitado.
Extensiones de la CSR
Con Honor Extensions, Lamassu filtra las extensiones adicionales solicitadas y conserva únicamente SAN. Sin esa opción, descarta las extensiones adicionales de la CSR.
Este comportamiento permite aceptar DNS, IP, correo o URI como identidades alternativas sin aceptar extensiones arbitrarias.
Restricciones criptográficas
La aplicación criptográfica puede:
- permitir o bloquear claves RSA;
- limitar los tamaños RSA admitidos;
- permitir o bloquear claves ECDSA;
- limitar los tamaños o curvas ECDSA admitidos.
Cuando está habilitada, Lamassu comprueba la clave pública antes de crear una CA o firmar una CSR. Una clave cuyo tipo o tamaño no figure en el perfil se rechaza.
Precedencia del perfil
En operaciones que admiten varias fuentes, Lamassu resuelve el perfil en este orden:
- Perfil enviado dentro de la operación.
- Identificador de perfil enviado en la operación.
- Perfil predeterminado asociado a la CA.
Un DMS también puede referenciar su propio perfil de emisión. De este modo, varias flotas pueden usar la misma CA con políticas distintas.
Crea un perfil
Define un único propósito
Separa, por ejemplo, dispositivos mTLS, servidores y CAs intermedias. Un perfil pequeño y específico es más fácil de revisar que uno que permita todos los usos.
Elige la validez
Alinea la duración con la capacidad real de renovación de la flota. Deja margen respecto a la expiración de la CA.
Fija usos y sujeto
Para un dispositivo que se autentica como cliente, el punto de partida habitual es DigitalSignature y ClientAuth. Añade ServerAuth o KeyEncipherment solo si el protocolo lo necesita.
Restringe las claves
Habilita la aplicación criptográfica y enumera únicamente algoritmos y tamaños compatibles con tu política y tus dispositivos.
Asócialo y prueba
Asocia el perfil a una CA o DMS. Emite un certificado de prueba y comprueba sujeto, SAN, KU, EKU, restricciones básicas y fechas con una herramienta X.509 independiente.
Ejemplos de diseño
Dispositivo mTLS
Certificado final, validez corta, DigitalSignature, ClientAuth, sujeto controlado por el DMS y SAN permitido cuando identifica al dispositivo.
Servidor TLS
Certificado final, DigitalSignature, ServerAuth y SAN obligatorio con los nombres que utilizarán los clientes.
CA intermedia
Sign as CA, CertSign y CRLSign, validez superior a sus certificados finales y restricciones criptográficas más exigentes.
Son patrones de partida, no una política universal. Verifica siempre los requisitos del protocolo, del consumidor y del marco regulatorio aplicable.
Cambios y eliminación
Actualizar un perfil afecta a emisiones futuras; no modifica certificados ya firmados. Prueba los cambios antes de aplicarlos a una CA en producción y conserva la justificación operativa.
Antes de eliminar un perfil, comprueba que ninguna CA o DMS dependa de él. Si deseas sustituirlo, crea la versión nueva, actualiza las referencias y realiza una emisión de prueba antes de retirar el anterior.