Generar un certificado de acceso OKMS

Gestione sus certificados de acceso para sus productos de Data Security

Objetivo

El objetivo de esta guía es presentar las diferentes etapas para crear y gestionar sus certificados de acceso OKMS en sus productos de Data Security.

Requisitos

Disponer de una cuenta de cliente de OVHcloud.
Haber contratado un KMS OVHcloud

Acceso al área de cliente de OVHcloud

Enlace directo:
Ruta de navegación: Identidad, seguridad y operaciones > Key Management Service > Seleccione su dominio OKMS

Procedimiento

Descripción de los certificados de acceso OKMS

Para comunicarse con su dominio OKMS, debe disponer de un certificado de acceso. Se trata de uno de los tres métodos de autenticación OKMS; los certificados son obligatorios para KMIP y se recomiendan cuando se necesita la autenticación de cliente mTLS. Para el uso de la API REST, un token de acceso personal (PAT) o una cuenta de servicio suele ser más sencillo de configurar.

Un certificado de acceso solo es válido para el dominio para el que ha sido generado.

Warning

Solo la generación de certificados con un CSR está cubierta por la certificación PCI-DSS.

Crear un certificado de acceso desde el KMS

Área de cliente de OVHcloud

API de OVHcloud

Es posible crear este certificado desde el menú dedicado del KMS.

En la pestaña Certificados de acceso, haga clic en el botón Crear un certificado de acceso.

La primera parte del formulario le permite especificar su periodo de validez, seleccionar el algoritmo de firma, así como proporcionar o no su Certificate Signing Request (CSR) en caso de que disponga de su propia clave privada.

Sin proporcionar una clave privada

Si no proporciona un CSR, OVHcloud generará el certificado de acceso así como una clave privada.

Con un CSR

Si dispone de su propia clave privada, es posible utilizarla proporcionando un CSR.

La segunda parte del formulario permite indicar las identidades de OVHcloud asociadas al certificado que permiten calcular los derechos de acceso mediante el IAM de OVHcloud.

Es posible añadir la identidad root al certificado para no estar limitado por el IAM de OVHcloud.

A continuación, es necesario descargar la clave privada del certificado.

Danger

La clave privada ya no será accesible posteriormente. En caso de pérdida, será necesario volver a generar un certificado.

Warning

El campo privateKeyPEM debe modificarse para reemplazar las apariciones de \n por retornos de carro.

Por último, es posible descargar la clave pública del certificado desde el panel de control.

Es posible generar este certificado dejando que OVHcloud genere la clave privada, o proporcionando su Certificate Signing Request (CSR) en caso de que disponga de su propia clave privada.

Sin proporcionar una clave privada

Si no proporciona un CSR, OVHcloud generará el certificado de acceso así como una clave privada.

La generación del certificado se realiza mediante la siguiente API:

POST/okms/resource/{okmsId}/credential

Es necesario indicar la siguiente información:

name: el nombre del certificado
identityURNs: lista de identidades de OVHcloud en formato URN que se proporcionarán al IAM para el cálculo de los derechos de acceso
description: descripción del certificado (opcional)
certificateType: algoritmo de firma del certificado (ECDSA o RSA) - ECDSA por defecto (opcional)
validity: periodo de validez del certificado en días - 365 días por defecto (opcional)

Ejemplo de creación de un certificado con la cuenta root:

{
  "description": "My root access credential",
  "identityURNs": [
    "urn:v1:eu:identity:account:xx1111-ovh"
  ],
  "name": "root",
  "validity": 30
}

Ejemplo de creación de un certificado con una cuenta de usuario local:

{
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "name": "John Smith",
  "validity": 30
}

A continuación, la API devuelve el estado de creación del certificado:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "certificateType": "ECDSA",
  "status": "CREATING",
  "fromCSR": false,
  "privateKeyPEM": "-----BEGIN EC PRIVATE KEY-----\nMHcCAQEEIDOfWuMVQxl5quoURzThF4zTI9YYTmylSaPjneLBwP+2oAoGCCqGSM49\nAwEHoUQDQgAERd1eMw0YdAD+E9oSymGc4bCL1mfJl0EZwoM2ya/uKFFVFnGMnckg\nXXXXXXXXXXXXXXX==\n-----END EC PRIVATE KEY-----\n",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Copie el valor del campo privateKeyPEM en un archivo domain.key

Danger

La clave privada ya no será accesible posteriormente. En caso de pérdida, será necesario volver a generar un certificado.

Warning

El campo privateKeyPEM debe modificarse para reemplazar las apariciones de \n por retornos de carro.

A continuación, copie el ID del certificado y acceda a su detalle mediante la API:

GET/okms/resource/{okmsId}/credential/{credentialId}

La API devuelve el certificado en formato PEM:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "status": "READY",
  "fromCSR": false,
  "certificateType": "ECDSA",
  "certificatePEM": "-----BEGIN CERTIFICATE-----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\nDlyP5HhrWyFB9BICIDl5wtUWgCmo6TjOqXXXXXXXXXXXXXX\n-----END CERTIFICATE-----",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Copie el valor del campo certificatePEM en un archivo client.cert.

Warning

El campo certificatePEM debe modificarse para reemplazar las apariciones de \n por retornos de carro.

Con un CSR

Si dispone de su propia clave privada, es posible utilizarla proporcionando un CSR.

La generación del certificado se realiza mediante la siguiente API:

POST/okms/resource/{okmsId}/credential

Es necesario indicar la siguiente información:

name: el nombre del certificado
identityURNs: lista de identidades de OVHcloud en formato URN que se proporcionarán al IAM para el cálculo de los derechos de acceso
description: descripción del certificado (opcional)
validity: periodo de validez del certificado en días - 365 días por defecto (opcional)
csr: el contenido del CSR

Warning

El CSR debe estar en formato JSON. El archivo debe modificarse para reemplazar los retornos de carro por \n (consulte el ejemplo a continuación). También puede utilizar herramientas de terceros en línea para adaptar el contenido a un formato JSON adecuado.

Ejemplo de creación de un certificado:

{
  "csr": "-----BEGIN CERTIFICATE REQUEST-----\nMIICvDCCAaQCAQAwdzELMAkGA1UEBhMCVVMxDTALBgNVBAgMBFV0YWgxDzANBgNV\nBAcMBkxpbmRvbjEWMBQGA1UECgwNRGlnaUNlcnQgSW5jLjERMA8GA1UECwwIRGln\naUNlcnQxHTAbBgNVBAMMFGV4YW1wbGUuZGlnaWNlcnQuY29tMIIBIjANBgkqhkiG\n9w0BAQEFAAOCAQ8AMIIBCgKCAQEA8+To7d+2kPWeBv/orU3LVbJwDrSQbeKamCmo\nwp5bqDxIwV20zqRb7APUOKYoVEFFOEQs6T6gImnIolhbiH6m4zgZ/CPvWBOkZc+c\n1Po2EmvBz+AD5sBdT5kzGQA6NbWyZGldxRthNLOs1efOhdnWFuhI162qmcflgpiI\nWDuwq4C9f+YkeJhNn9dF5+owm8cOQmDrV8NNdiTqin8q3qYAHHJRW28glJUCZkTZ\nwIaSR6crBQ8TbYNE0dc+Caa3DOIkz1EOsHWzTx+n0zKfqcbgXi4DJx+C1bjptYPR\nBPZL8DAeWuA8ebudVT44yEp82G96/Ggcf7F33xMxe0yc+Xa6owIDAQABoAAwDQYJ\nKoZIhvcNAQEFBQADggEBAB0kcrFccSmFDmxox0Ne01UIqSsDqHgL+XmHTXJwre6D\nhJSZwbvEtOK0G3+dr4Fs11WuUNt5qcLsx5a8uk4G6AKHMzuhLsJ7XZjgmQXGECpY\nQ4mC3yT3ZoCGpIXbw+iP3lmEEXgaQL0Tx5LFl/okKbKYwIqNiyKWOMj7ZR/wxWg/\nZDGRs55xuoeLDJ/ZRFf9bI+IaCUd1YrfYcHIl3G87Av+r49YVwqRDT0VDV7uLgqn\n29XI1PpVUNCPQGn9p/eX6Qo7vpDaPybRtA2R7XLKjQaF9oXWeCUqy1hvJac9QFO2\n97Ob1alpHPoZ7mWiEXXXXXXXXXXXXX\n-----END CERTIFICATE REQUEST-----",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "name": "John Smith",
  "validity": 30
}

A continuación, la API devuelve el estado de creación del certificado:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "status": "CREATING",
  "fromCSR": true,
  "certificateType": "ECDSA",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Copie el ID del certificado y acceda a su detalle mediante la API:

GET/okms/resource/{okmsId}/credential/{credentialId}

La API devuelve el certificado en formato PEM:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "status": "READY",
  "fromCSR": true,
  "certificateType": "ECDSA",
  "certificatePEM": "-----BEGIN CERTIFICATE-----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\nDlyP5HhrWyFB9BICIDl5wtUWgCmo6TjOqXXXXXXXXXXXXXX\n-----END CERTIFICATE-----",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Copie el valor del campo certificatePEM en un archivo client.cert.

Más información

Interactúe con nuestra comunidad de usuarios.

¿Le ha resultado útil esta página?