Protocoles d'enrôlement
Laissez les équipements et charges de travail s'enrôler automatiquement en utilisant le protocole qu'ils parlent déjà.
Vue d'ensemble
Au-delà du flux manuel de demande et d'approbation, DuoKey expose les protocoles d'enrôlement standards afin que les clients puissent obtenir et renouveler des certificats sans intervention humaine. Chaque protocole dispose d'un point de terminaison de protocole public (ce que les clients appellent) et d'une configuration d'administration dans le Cockpit (liée à une CA et soumise à des permissions).
| Protocole | Standard | Clients typiques |
|---|---|---|
| ACME | RFC 8555 | certbot, acme.sh, Kubernetes cert-manager, Caddy |
| EST | RFC 7030 | Routeurs, passerelles, équipements IoT |
| SCEP | RFC 8894 | Équipements réseau, points de terminaison gérés par MDM |
| CMP | RFC 4210 / 9483 | PKI industrielles et opérateurs |
| cert-manager | Kubernetes | Charges de travail Kubernetes (émetteur externe) |
| KMIP | OASIS KMIP 2.1 | Clients KMIP (objets clé / certificat) |
ACME (RFC 8555)
Un serveur ACME par CA, couvrant le flux compte, commande, autorisation, challenge, finalisation et téléchargement, avec ACME Renewal Information (RFC 9773) pour que les clients renouvellent au moment suggéré par la CA — voir Certificats à courte durée de vie et ACME ARI. La requête revoke-cert est acceptée mais n'ajoute pas encore le certificat à la CRL ni aux réponses OCSP. Pointez n'importe quel client ACME (ou l'émetteur ACME de cert-manager) vers l'URL de répertoire ACME de la CA.
EST (RFC 7030)
Enrollment over Secure Transport, prenant en charge les opérations standards cacerts, simpleenroll, simplereenroll, serverkeygen et csrattrs pour les équipements et passerelles. Pour le provisionnement de parcs, le renouvellement et les limites de débit, voir Identité des appareils à grande échelle.
SCEP (RFC 8894)
Simple Certificate Enrollment Protocol avec des profils configurables pour les clients SCEP classiques tels que les équipements réseau et les points de terminaison gérés par MDM. Un profil peut faire valider chaque demande par Microsoft Intune au lieu d'un challenge statique — voir Intune et MDM.
SCEP déchiffre chaque demande avec la clé de la CA, ce que les back-ends de vault n'offrent pas. Un profil SCEP nécessite donc une CA RSA dont la clé est détenue en logiciel par la plateforme ; il ne peut pas utiliser une CA dont la clé est dans un HSM, un KMS cloud ou un vault MPC.
CMP (RFC 4210 / 9483)
Certificate Management Protocol avec des alias nommés, un suivi des transactions et des métriques par alias, pour les PKI industrielles et opérateurs. Voir Identité des appareils à grande échelle pour le provisionnement et le renouvellement kur.
Enrôlement automatique Windows (MS-XCEP / MS-WSTEP)
Les utilisateurs et ordinateurs Windows joints au domaine peuvent enrôler et renouveler des certificats depuis une CA DuoKey par stratégie de groupe (préversion) — voir Enrôlement automatique Windows.
Kubernetes cert-manager
DuoKey définit aussi un type d'émetteur externe natif pour cert-manager : cert-manager soumet les CSR et DuoKey renvoie les certificats signés. Cette intégration est encore en cours de généralisation — contactez DuoKey pour son statut. L'émetteur ACME de cert-manager, pointé vers le répertoire ACME de la CA, est la méthode prise en charge aujourd'hui.
Serveur KMIP 2.1
DuoKey peut agir comme serveur KMIP, exposant des objets et opérations clé / certificat aux clients KMIP.
Cycle de vie unifié des points de terminaison
Tous les points de terminaison de protocole (EST / SCEP / ACME / CMP / KMIP) partagent un cycle de vie de point de terminaison commun — déployer, démarrer, mettre en pause, arrêter — avec suivi de la santé et métriques, afin de les exploiter de manière cohérente.