Enrollment-Protokolle
Lassen Sie Geräte und Workloads sich automatisch über das Protokoll registrieren, das sie bereits sprechen.
Überblick
Über den manuellen Antrags- und Genehmigungsworkflow hinaus stellt DuoKey die gängigen Enrollment-Protokolle bereit, damit Clients Zertifikate ohne manuelle Schritte beziehen und erneuern können. Jedes Protokoll verfügt über einen öffentlichen Protokoll-Endpunkt (den Clients aufrufen) und eine Admin-Konfiguration im Cockpit (an eine CA gebunden und durch Berechtigungen abgesichert).
| Protokoll | Standard | Typische Clients |
|---|---|---|
| ACME | RFC 8555 | certbot, acme.sh, Kubernetes cert-manager, Caddy |
| EST | RFC 7030 | Router, Gateways, IoT-Geräte |
| SCEP | RFC 8894 | Netzwerkgeräte, MDM-verwaltete Endpunkte |
| CMP | RFC 4210 / 9483 | Industrielle PKIs und Betreiber-PKIs |
| cert-manager | Kubernetes | Kubernetes-Workloads (externer Issuer) |
| KMIP | OASIS KMIP 2.1 | KMIP-Clients (Schlüssel-/Zertifikatsobjekte) |
ACME (RFC 8555)
Ein ACME-Server pro CA für den Ablauf Konto, Order, Autorisierung, Challenge, Finalisierung und Download, mit ACME Renewal Information (RFC 9773), damit Clients zum von der CA vorgeschlagenen Zeitpunkt erneuern — siehe Short-Lived Certificates & ACME ARI. Die Anfrage revoke-cert wird angenommen, nimmt das Zertifikat aber noch nicht in CRL oder OCSP-Antworten auf. Richten Sie einen beliebigen ACME-Client (oder den ACME-Issuer von cert-manager) auf die ACME-Directory-URL der CA aus.
EST (RFC 7030)
Enrollment over Secure Transport mit Unterstützung der Standardoperationen cacerts, simpleenroll, simplereenroll, serverkeygen und csrattrs für Geräte und Gateways.
SCEP (RFC 8894)
Simple Certificate Enrollment Protocol mit konfigurierbaren Profilen für klassische SCEP-Clients wie Netzwerkgeräte und MDM-verwaltete Endpunkte.
CMP (RFC 4210 / 9483)
Certificate Management Protocol mit benannten Aliassen, Transaktionsverfolgung und Metriken je Alias, für industrielle PKIs und Betreiber-PKIs.
Kubernetes cert-manager
DuoKey definiert auch einen nativen externen Issuer-Typ für cert-manager: cert-manager reicht CSRs ein, und DuoKey gibt signierte Zertifikate zurück. Diese Integration ist noch auf dem Weg zur allgemeinen Verfügbarkeit — fragen Sie DuoKey nach dem aktuellen Stand. Der ACME-Issuer von cert-manager, ausgerichtet auf das ACME-Directory der CA, ist heute der unterstützte Weg.
KMIP-2.1-Server
DuoKey kann als KMIP-Server agieren und Schlüssel-/Zertifikatsobjekte sowie Operationen für KMIP-Clients bereitstellen.
Einheitlicher Endpunkt-Lebenszyklus
Alle Protokoll-Endpunkte (EST/SCEP/ACME/CMP/KMIP) teilen sich einen gemeinsamen Endpunkt-Lebenszyklus — Bereitstellen, Starten, Pausieren, Stoppen — mit Health- und Metrikdaten, sodass Sie sie konsistent betreiben können.