DuoKey PKI/SSL 概要
DuoKey Cockpit に組み込まれた、vault/HSM で保護された署名鍵を備える完全な認証局・証明書ライフサイクルプラットフォーム。
DuoKey PKI/SSL とは
DuoKey PKI/SSL は、DuoKey Cockpit に組み込まれた完全な公開鍵基盤（PKI）です。組織は独自の認証局（ルートおよび中間）を運用すること、あるいは外部/パブリック CA をフロントに立てることができ、その上でエステート全体にわたって証明書を発行、デプロイ、監視、失効できます。CA を vault 付きで作成した場合、CA の署名鍵はvault、HSM、クラウド KMS、または MPC クラスター内で生成・使用されます（CA Key Protection を参照）。
単機能の SSL 申請フォームとは異なり、このプラットフォームは証明書ライフサイクル全体をカバーします。CA 階層、リクエストと承認のワークフロー、標準的なエンロールメントプロトコル（ACME、EST、SCEP、CMP、Kubernetes cert-manager、KMIP）、外部 CA 発行者のカタログ、ネットワーク機器やクラウドサービスへのデプロイコネクタ、OCSP レスポンダーと CRL 配布、そしてクラシックおよび耐量子の両方の鍵アルゴリズムです。
DV/OV/EV 検証ティアなどのパブリック CA の概念が、プライベート運用の CA に当てはまらない場合、このプラットフォームでは意図的に省略されています。
コア機能
CA 階層とライフサイクル
ルート、中間、およびインポートされた外部 CA。一時停止/再有効化、単純失効とカスケード失効、アーカイブ、そしてカスケード操作の前に確認できる読み取り専用のライフサイクル影響プレビューをサポートします。
証明書ライフサイクル
CA 配下での発行、CSR 承認ワークフロー（リクエスト → 承認/却下 → 発行）、更新、RFC 5280 の理由コードによる失効、再利用可能な証明書テンプレート。
標準的なエンロールメントプロトコル
ACME（RFC 8555）、EST（RFC 7030）、SCEP（RFC 8894）、CMP（RFC 4210/9483）、Kubernetes cert-manager、そして KMIP 2.1 サーバーエンドポイント。
外部 CA 発行者
パブリック CA およびクラウド CA をフロントに立てられます: Let's Encrypt、AWS Private CA、Azure Key Vault CA、Google Cloud CAS、Sectigo、DigiCert、QuoVadis、Cloudflare など。
デプロイ自動化
F5 BIG-IP、Fortinet FortiGate、Azure App Service、Entra ID、Apache / Nginx / IIS / JKS / Windows CAPI へ証明書をプッシュ — 検証とロールバック付き。
検証と失効
CA ごとのOCSP レスポンダーとCRL の生成・配布により、依拠者はリアルタイムで証明書のステータスを確認できます。
耐量子対応
NIST PQC 署名アルゴリズム（ML-DSA、SLH-DSA）と、クラシックな RSA・ECC と並ぶハイブリッドの ML-DSA-65 + ECDSA-P256 複合方式による発行。
ディスカバリーとコンプライアンス
ネットワークおよびエージェントベースのTLS/証明書スキャン、検出された証明書のインポート、証明書ごとの SSL/TLS 監査とコンプライアンス評価（Mozilla / NIST / PCI DSS）。
HSM 保護された鍵
vault 付きで作成した CA は、署名鍵をその vault（HSM（例: Securosys）、クラウド KMS、MPC クラスター）内に保持し、すべての証明書、CRL、OCSP 応答をそこで署名します。鍵はエクスポートされません。vault なしで作成した CA はプラットフォームが保存するソフトウェア鍵を使用し、移行できます。管理対象リーフ証明書の鍵は現在プラットフォームのソフトウェア vault で生成・保持され、エクスポート権限があれば証明書の秘密鍵をダウンロードできます（PEM または PKCS#12）。
アーキテクチャ
認証局
CA はプラットフォーム内で作成されます。vault 付きで作成した場合、署名鍵はその vault に生成・保持され（HSM、クラウド KMS、MPC クラスター）、エクスポートされません。vault なしの場合、鍵はソフトウェアで生成され、プラットフォームが保存します。耐量子およびハイブリッド CA は常に vault に常駐します。CA Key Protection を参照してください。
| CA タイプ | 作成方法 |
|---|---|
| ルート CA | 自己署名のトラストアンカー |
| 中間/発行 CA | 親のルートまたは中間 CA によって署名される。PQC/ハイブリッドチェーンでは親アルゴリズムの互換性が強制される |
| 外部 CA | 既存の PKI からインポートされ、プラットフォームが追跡・管理できるようにする |
すべての CA は完全なライフサイクルをサポートします: suspend（RFC 5280 の certificateHold）と reactivate、単純な revoke とカスケード失効（サブ CA と発行済み証明書も失効させる）、そして archive / unarchive（CA が発行を停止した後）。カスケード操作の前には、影響範囲を報告するライフサイクル影響プレビューをリクエストできます。各 CA はチェーン、CRL、OCSP レスポンダーを公開できます。
証明書タイプと鍵アルゴリズム
| 証明書タイプ | 一般的な拡張鍵用途 |
|---|---|
| CA | 証明書署名（ルート/中間） |
| サーバー（TLS/SSL） | ServerAuth |
| クライアント（mTLS） | ClientAuth |
| コード署名 | CodeSigning |
| メール（S/MIME） | EmailProtection |
サブジェクト代替名はDNS、IP、メール、URIのいずれかで、ワイルドカード DNS エントリ（例: *.example.com）も含みます。利用可能な鍵用途と拡張鍵用途は RFC 5280 のセット（ServerAuth、ClientAuth、CodeSigning、EmailProtection、TimeStamping、OcspSigning）に従います。
| ファミリー | サポートされる鍵アルゴリズム |
|---|---|
| RSA | RSA-2048, RSA-3072, RSA-4096, RSA-8192（CA 鍵） |
| ECC | EC-P256, EC-P384, EC-P521（CA 鍵） |
| 耐量子（署名） | ML-DSA-44/65/87（FIPS 204）, SLH-DSA-128F/128S（FIPS 205） |
| ハイブリッド/複合 | ML-DSA-65 + ECDSA-P256 |
RSA-2048、RSA-4096、EC-P256、EC-P384 は、どの vault でも CA 鍵に使用できます。RSA-3072、RSA-8192、EC-P521 を使用できるかどうかは、CA 鍵を保持する場所によって異なります。
- Software Vault と Securosys Primus: 3 つすべて。
- Azure Key Vault:
RSA-3072とEC-P521。Azure の RSA は 4096 ビットが上限です。 - AWS KMS:
EC-P521。プラットフォームは AWS の RSA 鍵を暗号化用に作成するため、RSA の CA 鍵は AWS KMS には保持されません。 - Google Cloud KMS: 3 つとも使用できません。Google には P-521 曲線がなく、プラットフォームは Google の RSA 鍵を暗号化用に作成します。
- vault なし: 3 つすべて。CA とともに保存されるソフトウェア鍵として保持されます。
CA 作成ページには、選択した vault が保持できるサイズだけが表示されます。P-521 の CA は ECDSA と SHA-512 で署名します。サーバー側で生成した鍵を使ってプラットフォームが発行する証明書では、RSA-2048、RSA-3072、RSA-4096、EC-P256、EC-P384 のいずれかを使用します。RSA-8192 と EC-P521 は CA 鍵専用のサイズです。
耐量子およびハイブリッド CA はvault で署名されます（鍵は vault に常駐）。クラシックな CA は、vault 付きで作成した場合は vault で署名され、それ以外はソフトウェア鍵で署名します。
エンロールメントプロトコル
デバイスとワークロードは、すでに話しているプロトコルを使って直接エンロールできます。それぞれにパブリックなプロトコルエンドポイントと Cockpit での管理設定があります。
| プロトコル | 標準 | 一般的な用途 |
|---|---|---|
| ACME | RFC 8555 | 自動化された Web サーバー証明書（Let's-Encrypt 系クライアント、cert-manager） |
| EST | RFC 7030 | デバイスおよびゲートウェイ向けのセキュアトランスポート経由エンロールメント |
| SCEP | RFC 8894 | ネットワーク機器および MDM 管理エンドポイント |
| CMP | RFC 4210 / 9483 | 産業用/オペレーター PKI 向けの証明書管理 |
| cert-manager | Kubernetes | Kubernetes ワークロード向けの外部発行者 |
| KMIP | OASIS KMIP 2.1 | Cockpit が鍵/証明書オブジェクト向けの KMIP サーバーとして動作 |
外部 CA 発行者
自組織の CA に代えて（あるいはそれと並行して）、プラットフォームは発行者コネクタを通じて外部認証局を操作できるため、リクエスト、更新、失効を単一のコンソールで処理できます。
| 発行者 | バックエンド |
|---|---|
| Let's Encrypt | パブリック ACME CA（http-01 チャレンジ処理を含む） |
| AWS Private CA | AWS ACM Private CA |
| Azure Key Vault CA | Azure Key Vault 証明書 CA |
| Google Cloud CAS | Google Certificate Authority Service |
| Sectigo | 商用 CA |
| DigiCert / QuoVadis | DigiCert CertCentral（および子会社 QuoVadis） |
| Cloudflare | オリジン/エッジ CA |
| Volkswagen Group PKI | PPCS mTLS エンタープライズ PKI |
| 内部 CA | ローカルで運用される vault 保護の CA |
各発行者は接続テスト、発行、更新、失効、（ACME の場合は）アカウント登録をサポートします。
デプロイ先
発行された証明書は、TLS を終端する場所へ直接プッシュでき、ジョブごとの検証とロールバックが可能です。
| デプロイ先 | 注記 |
|---|---|
| F5 BIG-IP | iControl REST — cert+key または cert のみをデプロイ、ロールバック対応 |
| Fortinet FortiGate | デプロイとロールバック |
| Azure App Service | アプリサービスへの証明書バインド |
| Entra ID | App Proxy と App Registration |
| Apache · Nginx · IIS · JKS · Windows CAPI | 汎用デプロイ先 |
| ServiceNow CMDB | 在庫/有効期限の同期（TLS 終端先ではありません） |
アクセス制御
PKI 操作は、アクションごとにチェックされるきめ細かなテナントスコープのロールベース権限によって制御されます。認証局の管理、証明書の発行と失効、リクエストの承認/却下、失効データの管理をそれぞれ個別の権限がカバーしているため、職務分掌をクリーンに強制できます。
権限はテナントスコープであるため、各組織は自身の CA と証明書のみを閲覧・管理できます。
モジュール別に見る
CA 管理
ルート、中間、外部 CA と CA ライフサイクル全体
発行者
外部、クラウド、内部 CA コネクタ
エンロールメントプロトコル
ACME、EST、SCEP、CMP、cert-manager、KMIP
デプロイ
F5、Fortinet、Azure、Entra などへの証明書プッシュ
失効（OCSP と CRL）
証明書ステータスの公開と確認
耐量子 PKI
ML-DSA、SLH-DSA、ハイブリッド証明書
ディスカバリーとコンプライアンス
エステート全体の TLS をスキャン、監査、スコアリング
前提条件
前提条件
- PKI アクセス権を持つ有効な DuoKey Cockpit アカウント
- 関連する PKI 権限（または管理者ロール）
- CA 署名鍵用に設定された vault
- 外部発行者を使用する場合: 対象 CA の認証情報（API キー、アカウント、またはクラウドロール）