Odnawianie urzędu certyfikacji w infrastrukturze PKI chmury

Infrastruktura PKI usługi Microsoft Cloud obsługuje odnawianie urzędów certyfikacji, co pomaga utrzymać ciągłość wystawiania certyfikatów i uniknąć przerw w świadczeniu usług wynikających ze zbliżającego się wygaśnięcia certyfikatów.

Odnowienie urzędu certyfikacji powoduje utworzenie nowego certyfikatu urzędu certyfikacji ze zaktualizowanym materiałem kryptograficznym przy zachowaniu dostępu do certyfikatów i list odwołania certyfikatów (CRL) wystawionych przez wcześniejsze wersje urzędów certyfikacji.

W tym artykule omówiono sposób odnawiania urzędu certyfikacji, kiedy jest ono dostępne oraz czego można oczekiwać w trakcie cyklu życia odnowienia.

Wymagania wstępne

Aby odnowić urząd certyfikacji w infrastrukturze PKI w chmurze, upewnij się, że są spełnione następujące wymagania:

Wymagania dotyczące ról

Aby odnowić urząd certyfikacji, użyj konta z co najmniej następującymi uprawnieniami infrastruktury kluczy PKI w chmurze:

  • Odczytywanie urzędów certyfikacji
  • Tworzenie urzędów certyfikacji

cloud-pki-icon Wymagania urzędu certyfikacji

Odnowienie certyfikatu dotyczy następujących typów urzędów certyfikacji:

  • Wydawanie urzędów certyfikacji zarządzane przez usługę Intune
  • Bring your own CA (BYOCA) wystawiający urzędy certyfikacji

Jak to działa

Odnowienie urzędu certyfikacji powoduje wystawienie nowego certyfikatu urzędu certyfikacji z nową parą kluczy publiczny/prywatny. Odnowiony urząd certyfikacji przedłuża okres istnienia urzędu certyfikacji poza datę wygaśnięcia oryginalnego certyfikatu. Kluczowe cechy odnowienia urzędu certyfikacji obejmują:

  • Podczas odnawiania jest zawsze generowana nowa para kluczy.
  • Istniejące pary kluczy publiczny/prywatny nie mogą być ponownie używane.
  • Certyfikaty i listy CRL wystawione przez starsze wersje urzędów certyfikacji pozostają dostępne po odnowieniu.
  • Odnawianie można wykonać przy użyciu centrum administracyjnego usługi Intune lub programu Microsoft Graph.

Infrastruktura PKI w chmurze korzysta z modelu odnawiania etapowego, który umożliwia sprawdzenie poprawności odnowionego urzędu certyfikacji przed jego uaktywnieniem. Proces odnawiania składa się z trzech głównych etapów:

1. Odnowienie subskrypcji urzędu certyfikacji

Urząd certyfikacji kwalifikuje się do odnowienia, gdy osiągnie połowę okresu ważności lub wygaśnie. Po uzyskaniu uprawnień urząd certyfikacji można odnowić w celu utworzenia wersji etapowej.

Gdy urząd certyfikacji zbliża się do wygaśnięcia, usługa Intune wyświetla transparenty i wskaźniki stanu, aby pomóc administratorom określić, kiedy wymagane jest działanie. Proces odnawiania różni się nieco w zależności od tego, czy korzystasz z urzędu certyfikacji zarządzanego przez usługę Intune, czy wdrożenia typu "przynieś własny urząd certyfikacji" (BYOCA).

Wygasłe urzędy certyfikacji nadal można odnawiać; jednak wystawianie certyfikatów jest niedostępne do czasu uaktywnienia przemieszczanego urzędu certyfikacji.

2. Testowanie przemieszczanego urzędu certyfikacji

Wybranie pozycji Odnów powoduje utworzenie wersji etapowej wystawiającego urzędu certyfikacji.

Etapowy urząd certyfikacji:

  • Ma tymczasowy identyfikator URI protokołu SCEP do testowania, oddzielony od produkcyjnego identyfikatora URI SCEP.
  • Może służyć do sprawdzania poprawności wystawiania certyfikatów przed aktywacją.
  • Jest dostępna przez maksymalnie 90 dni.

Jeśli tymczasowy urząd certyfikacji nie został aktywowany:

  • Staje się ona nieaktywna po 90 dniach.
  • Jest on usuwany po upływie dodatkowego 30-dniowego okresu prolongaty.
  • Zasoby sprzętowego modułu zabezpieczeń (HSM) są odzyskiwane.

3. Aktywowanie urzędu certyfikacji

Podwyższ poziom etapowego urzędu certyfikacji do stanu aktywnego, aby ukończyć odnawianie.

Aktywowanie przemieszczanego urzędu certyfikacji:

  • Podwyższa poziom przemieszczanego urzędu certyfikacji do stanu aktywnego.
  • Wycofuje poprzednio aktywny urząd certyfikacji.
  • Wyłącza przemieszczany identyfikator URI SCEP.
  • Przywraca korzystanie z oryginalnego produkcyjnego identyfikatora URI SCEP, dzięki czemu nie trzeba aktualizować istniejących profilów SCEP.

Odnawianie, nazewnictwo i przechowywanie wersji

Każde odnowienie urzędu certyfikacji powoduje zwiększenie wersji urzędu certyfikacji i zaktualizowanie nazwy wyświetlanej urzędu certyfikacji, tak aby odzwierciedlała tę wersję.

Gdy wystawiający urząd certyfikacji jest odnawiany, usługa Intune dołącza sufiks wersji do nazwy wyświetlanej urzędu certyfikacji przy użyciu formatu: (V#.0). Każde odnowienie powoduje zwiększenie numeru wersji o 1.

Przykłady:

  • Przed odnowieniem: Contoso-PKI-Issuing-CA
  • Po pierwszym odnowieniu: Contoso-PKI-Issuing-CA (V2.0)
  • Po drugim odnowieniu: Contoso-PKI-Issuing-CA (V3.0)

Przyrostek wersji jest stosowany w czasie odnawiania i staje się nazwą obiektu CA używaną w usłudze Intune.

Sprawdzanie szczegółów urzędu certyfikacji

Aby sprawdzić dane urzędu certyfikacji w infrastrukturze kluczy publicznych w chmurze:

  1. W centrum administracyjnym Microsoft Intune wybierz pozycję Administracja> dzierżawąChmura PKI.
    • Na liście urzędów certyfikacji pole Odnowienie wskazuje, czy czynność jest wymagana, czy też aktualny stan odnowienia urzędu certyfikacji.
  2. Wybierz urząd certyfikacji.
    • Karta Monitor zawiera przegląd działań wystawiania urzędu certyfikacji, w tym liczbę aktywnych, wygasłych i odwołanych certyfikatów.
    • Na karcie Właściwości są wyświetlane informacje o bieżącym stanie, aktywnej wersji i ustawieniach urzędu certyfikacji. Szczegóły na tej karcie obejmują:
      • Name (Nazwa)
      • Opis
      • Stan
      • Wersja urzędu certyfikacji
      • Numer seryjny
      • Odcisk palca
      • Typ urzędu certyfikacji
      • Klucze CA
      • Rozszerzone użycie klucza
      • Okres ważności
      • Wygaśnięcie
      • Nazwa zwyczajowa (CN)
      • Organizacja (O)
      • Jednostka organizacyjna (OU)
      • Kraj (C)
      • Stan lub prowincja (ST)
      • Miejscowość (L)
      • Rozmiar klucza i algorytm
      • Punkt dystrybucji list CRL
      • IDENTYFIKATOR URI PROTOKOŁU SCP
      • Pobierz certyfikat (klucz publiczny)
    • Karta Wersje umożliwia śledzenie wersji etapowych i wcześniejszych urzędów certyfikacji oraz zarządzanie nimi. Szczegóły na tej karcie obejmują:
      • Lista bieżących i wcześniejszych wersji urzędów certyfikacji
      • Dedykowane okienko zawierające szczegółowe informacje o każdej wersji urzędu certyfikacji, w tym opcje aktywowania i odwoływania etapowego urzędu certyfikacji.

Odnawianie urzędu certyfikacji

Aby odnowić urząd certyfikacji w infrastrukturze kluczy pulpitu PKI w chmurze, kroki różnią się w zależności od tego, czy korzystasz z urzędu certyfikacji zarządzanego przez usługę Intune, czy z wdrożenia własnego urzędu certyfikacji. Wybierz kartę odpowiednią dla danego scenariusza:

  1. W centrum administracyjnym Microsoft Intune wybierz pozycję Administracja> dzierżawąChmura PKI.
  2. Wybierz urząd certyfikacji, który chcesz odnowić.
  3. Jeśli urząd certyfikacji kwalifikuje się do odnowienia, opcja Odnów jest dostępna na pasku poleceń. Wybierz pozycję Odnów.
    Opcja Odnów jest wyłączona, gdy stan odnowienia urzędu certyfikacji jest przemieszczany.
  4. Przejrzyj informacje w okienku Odnów urząd certyfikacji , a następnie wybierz pozycję Odnów.
  5. Tworzony jest etapowy urząd certyfikacji i etapowy identyfikator URI SCEP.

Uwaga

Po utworzeniu tymczasowego urzędu certyfikacji stan odnowienia wystawiającego urzędu certyfikacji zmienia się na Etapowy.

Użyj etapowego urzędu certyfikacji (UC) i jego tymczasowego identyfikatora URI SCEP, aby zweryfikować wystawienie certyfikatu przed aktywacją. Utwórz i przypisz profil SCEP przy użyciu etapowego identyfikatora URI protokołu SCEP do grup testowych. Po zakończeniu sprawdzania poprawności usuń testowy profil SCEP.

Etapowy urząd certyfikacji jest dostępny przez maksymalnie 90 dni. Jeśli nie zostanie aktywowana w tym okresie, stanie się nieaktywna i zostanie usunięta po dodatkowym 30-dniowym okresie prolongaty.

Porada

Etapowy urząd certyfikacji pozwala na wydanie do 50 certyfikatów testowych w ciągu 90-dniowego okresu etapowego. Pomaga to zweryfikować wystawienie certyfikatu bez wpływu na środowiska produkcyjne.

Aktywowanie etapowego urzędu certyfikacji

Ostatnim krokiem w procesie odnawiania jest aktywowanie etapowego urzędu certyfikacji.

Aby aktywować urząd certyfikacji w infrastrukturze kluczy pulpitu PKI w chmurze:

  1. W centrum administracyjnym Microsoft Intune wybierz pozycję Administracja> dzierżawąChmura PKI.
  2. Wybierz etapowy urząd certyfikacji, który chcesz aktywować.
  3. Wybierz kartę Wersje .
  4. Z listy wersji urzędu certyfikacji wybierz urząd certyfikacji o stanie Tymczasowy .
  5. W okienku szczegółów wybierz pozycję Aktywuj.

Po aktywacji etapowy identyfikator URI protokołu SCEP zostanie usunięty, a poprzednia wersja urzędu certyfikacji zostanie wycofana.

Odwoływanie etapowego urzędu certyfikacji

W razie potrzeby anulowania etapowego urzędu certyfikacji przed aktywacją można go odwołać.

  1. W centrum administracyjnym Microsoft Intune wybierz pozycję Administracja> dzierżawąChmura PKI.
  2. Wybierz etapowy urząd certyfikacji, który chcesz aktywować.
  3. Wybierz kartę Wersje .
  4. Z listy wersji urzędu certyfikacji wybierz urząd certyfikacji o stanie Tymczasowy .
  5. W okienku szczegółów wybierz pozycję Odwołaj.

Powiadomienia i stan odnowienia urzędu certyfikacji

Centrum administracyjne usługi Intune udostępnia powiadomienia o odnowieniu i stan, aby ułatwić śledzenie zbliżających się urzędów certyfikacji w miarę zbliżania się wygaśnięcia.

Banery z prośbą o odnowienie certyfikatu

Urząd certyfikacji kwalifikuje się do odnowienia, gdy zbliża się do połowy okresu jego ważności. W poniższej tabeli przedstawiono banery odnawiania wyświetlane w konsoli administracyjnej usługi Intune Lista infrastruktury kluczy publicznych w chmurze na podstawie liczby dni przed wygaśnięciem.

Ikona Transparent odnawiania Opis
info-icon W połowie drogi do wygaśnięcia Urząd certyfikacji jest w połowie drogi do wygaśnięcia. Oznacza to środkowy punkt cyklu życia urzędu certyfikacji. Przejrzyj plan odnawiania w oparciu o zasady infrastruktury kluczy publicznych Twojej organizacji.
ikona błędu Pozostało 6 miesięcy Urząd certyfikacji wygasa za 6 miesięcy. Odnów teraz, aby mieć pewność, że będzie nadal wystawiać certyfikaty dla usług SCEP, Wi-Fi, VPN i poczty e-mail.
ikona błędu 90 dni Urząd certyfikacji wygasa za 90 dni. Odnów teraz, aby mieć pewność, że będzie nadal wystawiać certyfikaty dla usług SCEP, Wi-Fi, VPN i poczty e-mail.
ikona błędu 30 dni Urząd certyfikacji wygaśnie za 30 dni. Bez odnowienia wystawienie nowego certyfikatu może zakończyć się niepowodzeniem. Istniejące certyfikaty zachowują ważność do momentu ich wygaśnięcia. Odnów teraz, aby zachować dostarczanie certyfikatu urządzenia.
ikona błędu Wygasła Ważność urzędu certyfikacji wygasła. Certyfikaty nie są już wystawiane. Odnowienie lub utworzenie nowego urzędu certyfikacji w celu przywrócenia wystawiania certyfikatów.

Wartości stanu urzędu certyfikacji

Lista certyfikacji kluczy publicznych w chmurze zawiera pole Stan , które wskazuje bieżący stan cyklu życia urzędu certyfikacji.

Stan Opis
Aktywny Urząd certyfikacji, który obecnie wystawia certyfikaty.
Wygasła Urząd certyfikacji, którego okres ważności dobiegł końca.
Odwołano Urząd certyfikacji, który został jawnie odwołany przez administratora.
Wstrzymany Urząd certyfikacji, który wciąż jest ważny, ale został wstrzymany przez administratora.
Wymagane podpisywanie Dotyczy tylko odnowień umowy BYOCA, które wymagają podpisania CSR.

Lista urzędów certyfikacji kluczy publicznych w chmurze zawiera pole Odnowienie , które wskazuje stan odnowienia urzędu certyfikacji.

Odnowienie Opis
Wymagane działanie Urząd certyfikacji, który kwalifikuje się do odnowienia.
Etapowa Odnowiony urząd certyfikacji dostępny do testowania przed aktywacją.
Wymagane podpisywanie Dotyczy tylko odnowień umowy BYOCA, które wymagają podpisania CSR.

Po otwarciu urzędu certyfikacji z listy karta Wersje zawiera listę bieżącego i poprzednich urzędów certyfikacji. Pole Stan wskazuje stan cyklu życia każdego z nich.

Stan Opis
Aktywny Urząd certyfikacji, który obecnie wystawia certyfikaty.
Etapowa Odnowiony urząd certyfikacji dostępny do testowania przed aktywacją.
Wycofane Poprzedni urząd certyfikacji, który został zastąpiony przez aktywne odnowienie.
Wygasła Urząd certyfikacji, którego okres ważności dobiegł końca.
Odwołano Urząd certyfikacji, który został jawnie odwołany przez administratora.
Wycofany ze służby Tymczasowy urząd certyfikacji, który nie został aktywowany i przekroczył swój okres istnienia.
Wstrzymany Urząd certyfikacji, który wciąż jest ważny, ale został wstrzymany przez administratora.
Wymagane podpisywanie Dotyczy tylko odnowień umowy BYOCA, które wymagają podpisania CSR.
  • Ostatnia aktualizacja o