Generare un certificato di accesso OKMS

Gestisci i tuoi certificati di accesso per i tuoi prodotti di Data Security

Obiettivo

L'obiettivo di questa guida è presentare le diverse fasi per creare e gestire i tuoi certificati di accesso OKMS sui tuoi prodotti di Data Security.

Prerequisiti

Disporre di un account cliente OVHcloud.
Aver ordinato un KMS OVHcloud

Accesso allo Spazio Cliente OVHcloud

Link diretto:
Percorso di navigazione: Identità, sicurezza e operazioni > Key Management Service > Seleziona il tuo dominio OKMS

Procedura

Descrizione dei certificati di accesso OKMS

Per comunicare con il tuo dominio OKMS, devi disporre di un certificato di accesso. Si tratta di uno dei tre metodi di autenticazione OKMS; i certificati sono obbligatori per KMIP e consigliati quando è necessaria l'autenticazione client mTLS. Per l'utilizzo dell'API REST, un token di accesso personale (PAT) o un account di servizio è generalmente più semplice da configurare.

Un certificato di accesso è valido solo per il dominio per il quale è stato generato.

Warning

Solo la generazione del certificato con un CSR è coperta dalla certificazione PCI-DSS.

Creare un certificato di accesso dal KMS

Spazio Cliente OVHcloud

API OVHcloud

È possibile creare questo certificato dal menu dedicato del KMS.

Nella scheda Certificati di accesso, clicca sul pulsante Creare un certificato di accesso.

La prima parte del modulo ti permette di specificare la sua durata di validità, di selezionare l'algoritmo di firma e di fornire o meno la tua Certificate Signing Request (CSR) nel caso in cui tu possieda una tua chiave privata.

Senza fornire una chiave privata

Se non fornisci un CSR, OVHcloud genererà il certificato di accesso e una chiave privata.

Con un CSR

Se disponi di una tua chiave privata, è possibile utilizzarla fornendo un CSR.

La seconda parte del modulo permette di indicare le identità OVHcloud associate al certificato che permettono di calcolare i diritti di accesso tramite l'IAM OVHcloud.

È possibile aggiungere l'identità root al certificato per non essere vincolato dall'IAM OVHcloud.

È quindi necessario scaricare la chiave privata del certificato.

Danger

La chiave privata non sarà più accessibile in seguito. In caso di perdita, sarà necessario rigenerare un certificato.

Warning

Il campo privateKeyPEM deve essere modificato per sostituire le occorrenze di \n con dei ritorni a capo.

Infine, è possibile scaricare la chiave pubblica del certificato dalla dashboard.

È possibile generare questo certificato lasciando che OVHcloud generi la chiave privata, oppure fornendo la tua Certificate Signing Request (CSR) nel caso in cui tu possieda una tua chiave privata.

Senza fornire una chiave privata

Se non fornisci un CSR, OVHcloud genererà il certificato di accesso e una chiave privata.

La generazione del certificato avviene tramite la seguente API:

POST/okms/resource/{okmsId}/credential

È necessario indicare le seguenti informazioni:

name: il nome del certificato
identityURNs: elenco delle identità OVHcloud in formato URN che saranno fornite all'IAM per il calcolo dei diritti di accesso
description: descrizione del certificato (facoltativo)
certificateType: algoritmo di firma del certificato (ECDSA o RSA) - ECDSA per impostazione predefinita (facoltativo)
validity: durata di validità del certificato in giorni - 365 giorni per impostazione predefinita (facoltativo)

Esempio di creazione di un certificato con l'account root:

{
  "description": "My root access credential",
  "identityURNs": [
    "urn:v1:eu:identity:account:xx1111-ovh"
  ],
  "name": "root",
  "validity": 30
}

Esempio di creazione di un certificato con un account utente locale:

{
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "name": "John Smith",
  "validity": 30
}

L'API restituisce quindi lo stato di creazione del certificato:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "certificateType": "ECDSA",
  "status": "CREATING",
  "fromCSR": false,
  "privateKeyPEM": "-----BEGIN EC PRIVATE KEY-----\nMHcCAQEEIDOfWuMVQxl5quoURzThF4zTI9YYTmylSaPjneLBwP+2oAoGCCqGSM49\nAwEHoUQDQgAERd1eMw0YdAD+E9oSymGc4bCL1mfJl0EZwoM2ya/uKFFVFnGMnckg\nXXXXXXXXXXXXXXX==\n-----END EC PRIVATE KEY-----\n",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Copia il valore del campo privateKeyPEM in un file domain.key

Danger

La chiave privata non sarà più accessibile in seguito. In caso di perdita, sarà necessario rigenerare un certificato.

Warning

Il campo privateKeyPEM deve essere modificato per sostituire le occorrenze di \n con dei ritorni a capo.

Copia quindi l'ID del certificato e accedi al suo dettaglio tramite l'API:

GET/okms/resource/{okmsId}/credential/{credentialId}

L'API restituisce il certificato in formato PEM:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "status": "READY",
  "fromCSR": false,
  "certificateType": "ECDSA",
  "certificatePEM": "-----BEGIN CERTIFICATE-----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\nDlyP5HhrWyFB9BICIDl5wtUWgCmo6TjOqXXXXXXXXXXXXXX\n-----END CERTIFICATE-----",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Copia il valore del campo certificatePEM in un file client.cert.

Warning

Il campo certificatePEM deve essere modificato per sostituire le occorrenze di \n con dei ritorni a capo.

Con un CSR

Se disponi di una tua chiave privata, è possibile utilizzarla fornendo un CSR.

La generazione del certificato avviene tramite la seguente API:

POST/okms/resource/{okmsId}/credential

È necessario indicare le seguenti informazioni:

name: il nome del certificato
identityURNs: elenco delle identità OVHcloud in formato URN che saranno fornite all'IAM per il calcolo dei diritti di accesso
description: descrizione del certificato (facoltativo)
validity: durata di validità del certificato in giorni - 365 giorni per impostazione predefinita (facoltativo)
csr: il contenuto del CSR

Warning

Il CSR deve essere in formato JSON. Il file deve essere modificato per sostituire i ritorni a capo con \n (vedi l'esempio qui sotto). Puoi anche utilizzare strumenti di terze parti online per adattare il contenuto a un formato JSON adeguato.

Esempio di creazione di un certificato:

{
  "csr": "-----BEGIN CERTIFICATE REQUEST-----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\n97Ob1alpHPoZ7mWiEXXXXXXXXXXXXX\n-----END CERTIFICATE REQUEST-----",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "name": "John Smith",
  "validity": 30
}

L'API restituisce quindi lo stato di creazione del certificato:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "status": "CREATING",
  "fromCSR": true,
  "certificateType": "ECDSA",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Copia l'ID del certificato e accedi al suo dettaglio tramite l'API:

GET/okms/resource/{okmsId}/credential/{credentialId}

L'API restituisce il certificato in formato PEM:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "status": "READY",
  "fromCSR": true,
  "certificateType": "ECDSA",
  "certificatePEM": "-----BEGIN CERTIFICATE-----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\nDlyP5HhrWyFB9BICIDl5wtUWgCmo6TjOqXXXXXXXXXXXXXX\n-----END CERTIFICATE-----",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Copia il valore del campo certificatePEM in un file client.cert.

Per saperne di più

Contatta la nostra Community di utenti.

Questa pagina ti è stata utile?