Configuración de un editor par de autoridad de validación
EMPRESA Esta es una característica de EJBCA Enterprise.
A continuación, se explica cómo configurar un publicador de pares de una autoridad de validación (AV). Un publicador de pares de AV publica información de revocación de la CA a una AV mediante el protocolo de pares .
Para obtener más información sobre el editor par de autoridad de validación (VA), consulte Editor par de autoridad de validación y para obtener información general sobre los editores, consulte Descripción general de editores .
Prerrequisitos
Las siguientes instrucciones suponen que lo siguiente ya está en su lugar:
Dos instancias de EJBCA, asumidas como CA y VA respectivamente.
En la instancia de CA, una CA emisora .
En la instancia de CA, una conexión de par saliente a la instancia de VA.
En la instancia de CA, una vinculación de clave de autenticación para que la utilice la conexión de pares saliente.
Paso 1 - Crear el editor
Para agregar un editor:
En la instancia de CA, haga clic en Editores en Funciones de CA para abrir la página Administrar editores .
En el campo Agregar editor , ingrese el nombre de un editor y haga clic en Agregar .
Esto creará un nuevo publicador, que de forma predeterminada será un publicador LDAP.
Paso 2: Configurar el editor
Para configurar el editor:
Desde la Lista de editores, seleccione el editor recién creado y haga clic en Editar editor .
En la página Editar publicador, en el campo Tipo de publicador , seleccione Autoridad de validación Publicador par .
Para operaciones de publicación generales, puede usar los valores predeterminados. Sin embargo, asegúrese de que la Conexión de par saliente correcta esté seleccionada como Sistema de par .
Haga clic en Guardar y probar conexión para realizar la validación de entrada.
Paso 3: Configurar la CA emisora
Una vez guardado y probado el editor, actualice la configuración de la CA emisora:
Haga clic en Autoridades de certificación en Funciones de CA.
Haga clic en Editar en cualquier CA desde la que desee publicar.
En Datos específicos de CRL , en el campo Editores , seleccione el editor creado.
Paso 4: Configurar el VA para aceptar la publicación
En el lado de VA, debe configurarse para aceptar la conexión de la CA y permitirle escribir certificados y CRL en su base de datos.
Habilitar conexiones entrantes en el nodo VA
En el nodo VA, haga clic en Sistemas pares en Funciones del sistema y haga clic en Permitir conexiones entrantes.
Contacte al nodo VA desde la CA
En el nodo CA, haga clic en Sistemas pares en Funciones del sistema y debería ver el par saliente habilitado y activo según la configuración anterior.
A continuación, para ponerse en contacto con el VA y avisarle que hay una solicitud de conexión entrante, haga clic en Ping para el par saliente.
Esto generará el siguiente mensaje de error esperado, lo que significa que la CA puede comunicarse con la VA y está autenticada a través de la vinculación de clave de autenticación, pero no está autorizada a realizar ninguna operación.
Autorizar la conexión entrante en el VA
Volviendo a la página de Sistemas pares en el VA ( Funciones del sistema > Sistemas pares ), ahora hay una solicitud de conexión entrante en espera:
Dado que EJBCA requiere autenticación incluso para procesos internos entre nodos (para reforzar la seguridad del dominio y permitir la multi-inquilino), es necesario crear un rol que coincida con el certificado definido en la clave de autenticación de la CA. Para crear un rol:
Haga clic en Crear rol en la conexión entrante.
A continuación, seleccione un rol existente o cree uno nuevo:
Si ya tiene un rol preparado con las autorizaciones requeridas, no dude en seleccionarlo y el certificado TLS en el enlace de clave de autenticación se agregará a ese rol.
Para crear un nuevo rol, seleccione Crear nuevo rol y haga clic en Seleccionar.
Nombre el rol y asegúrese de que tenga permiso para publicar y renovar su certificado.
Haga clic en Crear nuevo rol y su rol se generará automáticamente con las reglas de acceso requeridas habilitadas.
Al regresar a la página de descripción general de sistemas pares , ahora puede ver que la conexión entrante está completamente autorizada y en línea.
La configuración de VA Peer Publisher ahora está completa y todas las CRL, revocaciones (y certificados, si están configurados) se escribirán automáticamente en el VA después de ser emitidos en la CA.