Корпоративный центр сертификации SafeTech CA получил новый модуль CDM (Certificate Delivery Management). Разработчик встроил в центр сертификации агентскую подсистему, которая автоматизирует доставку цифровых сертификатов на конечные устройства и управляет их жизненным циклом.
Обновление рассчитано на организации, которым нужно централизованно выпускать сертификаты, контролировать их актуальность и вовремя продлевать. Раньше для такого набора задач заказчикам приходилось приобретать крупные PKI-платформы с функциями, которые могли не использоваться, либо собирать связку из нескольких инструментов.
Что меняет модуль CDM
CDM работает внутри SafeTech CA. Заказчику не требуется подбирать отдельное решение для управления сертификатами на клиентских машинах, интегрировать его с центром сертификации и поддерживать сложную связку продуктов. В одном контуре доступны выпуск сертификата, его доставка через агента, установка в нужное хранилище и автоматическое продление.
Подсистема ориентирована на технологические сертификаты. Администратор централизованно управляет агентами, а агенты выполняют операции на целевых узлах самостоятельно. Такой подход охватывает не только момент выпуска, но и последующий контроль сертификата на устройстве.
- Администратор управляет агентами из центра сертификации.
- Агент выпускает сертификат на целевом узле.
- Агент отслеживает актуальность ранее выпущенного сертификата.
- При необходимости агент автоматически перевыпускает сертификат.
Что получает ИТ-администратор? Вместо ручной координации отдельных инструментов он контролирует выпуск, доставку и продление цифровых сертификатов в составе одного центра сертификации.
Сравнение подходов к работе с сертификатами
| Задача | Ранее при использовании разрозненных решений | С модулем CDM в SafeTech CA |
|---|---|---|
| Управление сертификатами на конечных устройствах | Требовалось искать стороннее решение и интегрировать его с CA | Функции встроены в корпоративный центр сертификации |
| Доставка сертификатов | Заказчики собирали связку между несколькими продуктами или использовали собственные скрипты | Агенты доставляют сертификаты на целевые узлы |
| Контроль сроков | Нужны отдельные средства базового управления сертификатами | Агенты отслеживают актуальность выпущенных сертификатов |
| Продление | Требовалось организовать автоматическое продление в отдельном контуре | Агенты автоматически перевыпускают сертификаты при необходимости |
| Инфраструктурные условия | Возможности зависят от выбранного решения и его интеграций | Агенты работают с ГОСТ-алгоритмами и не зависят от доменной инфраструктуры |
Работа в изолированных сегментах
Одна из особенностей CDM заключается в поддержке ГОСТ-алгоритмов. Агентская подсистема не зависит от доменной инфраструктуры: агенты могут работать в изолированных сегментах и средах, где нет LDAP-каталога.
Это расширяет сценарии применения центра сертификации для компонентов ИТ-ландшафта. В фокусе остаётся полный цикл технологического сертификата: от выпуска до его автоматического продления на конечном устройстве.
Дополнительные изменения в SafeTech CA
Одновременно в SafeTech CA появились возможности, связанные с обслуживанием самого центра сертификации и его конфигурацией. Они затрагивают ротацию подписывающих сертификатов, настройку через веб-интерфейс и хранение секретов для внешних сервисов.
- Ротация подписывающего сертификата. Можно ротировать корневой и подчинённый сертификат центра сертификации без потери доверия к уже выпущенным сертификатам. Инфраструктура продолжает штатную работу, а администратор может планово обновлять ключи ЦС в соответствии с политиками безопасности.
- Управление настройками. В веб-интерфейсе администратора появился отдельный сервис централизованного управления конфигурацией центра сертификации. Основные параметры доступны через UI, без ручного изменения конфигурационных файлов.
- Интеграция с HashiCorp Vault. Интеграция позволяет централизованно хранить и автоматически ротировать пароли подключения к внешним сервисам, компонентам инфраструктуры и учётные данные для доступа к базам данных. Секреты не хранятся в конфигурационных файлах в открытом виде.
Какие функции запланированы дальше
Развитие CDM направят на расширение автономности агента и более глубокую интеграцию с целевыми системами. В веб-интерфейсе SafeTech CA планируют добавить ручной запуск выпуска сертификата и его отправки на агент.
Также разработчик намерен показать в интерфейсе статус выполнения заданий. Это должно дать администратору контроль процессов доставки сертификатов в режиме реального времени. Нужен ли ручной запуск, если агент способен выполнять выпуск самостоятельно? Он пригодится в сценариях, где администратор хочет отдельно инициировать конкретное задание и проследить его выполнение.
Что проверить при выборе средств управления сертификатами
Организациям, которые оценивают инструменты для управления PKI-инфраструктурой, стоит сопоставить требуемые операции с возможностями решения: выпуск сертификата, доставка на целевой узел, установка в нужное хранилище, контроль актуальности и автоматический перевыпуск.
Отдельно имеет смысл проверить условия работы агентов. Для CDM заявлены поддержка ГОСТ-алгоритмов, независимость от доменной инфраструктуры и работа в изолированных сегментах без LDAP-каталога. Важны и административные функции: ротация сертификатов центра сертификации, управление конфигурацией из веб-интерфейса, а также централизованная работа с секретами через HashiCorp Vault.
Частые вопросы
Что такое CDM в SafeTech CA?
CDM, или Certificate Delivery Management, представляет собой агентскую подсистему внутри центра сертификации. Она автоматизирует доставку цифровых сертификатов и управление их жизненным циклом на конечных устройствах.
Какие действия выполняют агенты CDM?
Агенты выпускают сертификаты на целевых узлах, отслеживают актуальность уже выпущенных сертификатов и автоматически перевыпускают их при необходимости.
Нужна ли CDM доменная инфраструктура?
Нет. Агенты не зависят от доменной инфраструктуры, могут функционировать в изолированных сегментах и в средах без LDAP-каталога.
Поддерживает ли подсистема ГОСТ-алгоритмы?
Да, работа с ГОСТ-алгоритмами указана среди ключевых особенностей модуля CDM.
Какие сертификаты центра сертификации можно ротировать?
SafeTech CA позволяет ротировать как корневой, так и подчинённый сертификат центра сертификации без потери доверия к уже выпущенным сертификатам.
Что планируют добавить в веб-интерфейс?
Планируется возможность вручную инициировать выпуск сертификата и его отправку на агент, а также отслеживать статус выполнения заданий.
Коротко от редакции FindCert
Модуль CDM объединяет в SafeTech CA выпуск, доставку, контроль актуальности и автоматический перевыпуск технологических сертификатов на целевых устройствах. Для оценки такого решения важно проверить сценарии работы агентов, включая изолированные сегменты без LDAP-каталога, а также возможности управления ключами, конфигурацией и секретами.
FindCert — агрегатор: поможем подобрать проверенную компанию для оформления документов и сравнить услуги и цены за пару минут.
Автор: Эксперт FindCert
Специалист в области сертификации товаров и услуг
Более 10 лет опыта в сфере сертификации, декларирования и получения разрешительных документов. Помогает бизнесу легально работать на российском рынке.
