Pool de certificats

Outre la CA intégrée →, qui émet elle-même les certificats, Relution prend en charge les autorités de certification de type Pool de certificats. Dans ce cas, une PKI externe existante sert de source : les certificats qui y sont émis sont importés dans Relution sous forme d’archive et conservés sous forme de pool. Lorsqu’un certificat est nécessaire pour une configuration, il est attribué à partir de ce pool au lieu d’être généré.

Créer une autorité de certification de type Pool de certificats #

La création s’effectue sous Paramètres → Autorités de certification → Ajouter. Dans le menu déroulant Type d’autorité, l’entrée Pool de certificats est sélectionnée. Ce type n’est disponible que dans les organisations standard, et non dans l’organisation globale ou une méta-organisation.

Champs obligatoires

• Nom : Nom de l’autorité de certification dans Relution.

Les indications relatives à l’émission des certificats — par exemple un mot de passe pour le certificat racine, un common name ou une date d’expiration — ne sont pas nécessaires, car un pool de certificats ne signe pas lui-même de certificats.

Importer des certificats dans le pool #

L’importation s’effectue en modifiant l’autorité de certification enregistrée précédemment ; le champ Importer le pool de certificats n’apparaît qu’après le premier enregistrement. Une archive ZIP contenant les fichiers de certificats émis en externe y est téléversée. En dessous, Relution liste les certificats déjà contenus dans le pool.

Un sous-type peut être défini en option dans le champ Sous-type de certificat par défaut. Il détermine la fonction pour laquelle les certificats seront disponibles par la suite. Les options disponibles correspondent aux fonctions des certificats utilisateur : Certificat général, Wi-Fi, Exchange, VPN et applications, Cryptage S/MIME et Signature S/MIME (voir Certificats utilisateur →). Si un sous-type est sélectionné, il s’applique à tous les certificats de l’archive ; la colonne #Zertifikatstyp du fichier CSV est alors ignorée et peut être absente. Avec le réglage par défaut Aucun, le sous-type est lu ligne par ligne dans la colonne #Zertifikatstyp ; les lignes sans sous-type valide sont signalées comme erreurs.

Structure de l’archive #

L’archive ZIP contient les fichiers de certificats émis en externe ainsi qu’exactement un fichier CSV (UTF-8) qui indique pour chaque certificat un identifiant et le mot de passe d’importation. Sont acceptés comme fichiers de certificats les conteneurs PKCS#12 (.p12 ou .pfx) ainsi que les fichiers PEM (.pem avec clé privée, certificat et chaîne de certificats). Le séparateur est le point-virgule, la ligne d’en-tête est la suivante :

#E-Mail-Adresse;#P12-Passwort;#Zertifikatstyp

Les colonnes sont associées via la ligne d’en-tête, leur ordre est donc libre. Une ligne par certificat, par exemple :

#E-Mail-Adresse;#P12-Passwort;#Zertifikatstyp
max.mustermann@example.com;motDePasseSecret;WIFI

La correspondance entre la ligne CSV et le fichier de certificat s’effectue par le nom de fichier : le fichier de certificat contenu dans l’archive porte comme nom l’identifiant de la colonne #E-Mail-Adresse, dans l’exemple max.mustermann@example.com.p12. Si le nom du fichier diffère de l’identifiant, le certificat ne peut pas être associé. Les fichiers de certificats sans ligne CSV correspondante sont ignorés.

Après le téléversement, le formulaire affiche le résultat : nombre de certificats importés, de doublons ignorés et d’erreurs. Les identifiants concernés sont listés sous Importations échouées. Les lignes erronées n’interrompent pas l’importation ; les autres certificats sont tout de même importés. Un certificat est considéré comme doublon si son numéro de série existe déjà dans le pool de l’organisation.

Certificats importés dans la gestion des certificats #

Les certificats importés apparaissent ensuite sous Paramètres → Certificats avec l’utilisation Certificat de pool intégré, chacun avec le sous-type choisi lors de l’importation ou indiqué dans le fichier CSV — Wi-Fi dans le cas décrit ici. Cette vue permet de consulter et de gérer les certificats comme tous les autres certificats enregistrés, voir Gestion des certificats →.

Modèle de certificat pour un pool de certificats #

Pour que les certificats du pool puissent être utilisés dans les configurations de politiques, un modèle est créé sous Paramètres → Modèles de certificats → Ajouter.

Si un pool de certificats est sélectionné comme autorité de certification, les champs relatifs à la génération de certificats sont masqués (Nom du sujet, Noms alternatifs des sujets, Algorithme de clé, Longueur de la clé, Utilisation des clés de certification, Utilisations des clés étendues des certificats). Sont affichés :

• Nom : Nom du modèle.
• Type de modèle de certificat et Description (facultatif).
• Autorité de certification : L’autorité de certification de type Pool de certificats créée précédemment.
• Activer le renouvellement automatique avec Période de renouvellement automatique (en jours) : Si la date d’expiration d’un certificat attribué est comprise dans cette période, il est remplacé par un certificat libre du même sous-type issu du pool. L’ancien certificat est marqué comme supprimé et n’est plus attribué.
• Comportement lors du renouvellement des certificats et Période d’expiration du certificat (en jours) (champ obligatoire, valeur par défaut 365).

Le sous-type requis découle de la configuration dans laquelle le modèle est utilisé, par ex. Wi-Fi pour une configuration Wi-Fi. Si le pool ne contient plus de certificat libre de ce sous-type, aucun certificat ne peut être attribué et Relution signale une violation de conformité ; le pool doit alors être complété par d’autres certificats. Si seul un renouvellement est dû, l’ancien certificat reste attribué jusqu’à son expiration et Relution génère une notification de conformité.

Validation #

La configuration est complète lorsque

• l’autorité de certification de type Pool de certificats est créée,
• l’importation de l’archive ZIP (dans l’exemple avec le sous-type Wi-Fi) s’est terminée sans doublons et sans erreurs,
• les certificats importés sont listés sous Paramètres → Certificats avec le sous-type Wi-Fi, et
• le modèle de certificat de l’autorité de certification de type Pool de certificats s’affiche sans champs relatifs à la génération de certificats, mais avec les options de renouvellement et d’expiration.

L’utilisation ultérieure du modèle dans une politique correspond à la procédure décrite pour la CA intégrée, voir CA intégrée →.