Zarządzanie certyfikatem dostępu OKMS

Zarządzaj certyfikatem dostępu do produktów Data Security

Wprowadzenie

Celem tego przewodnika jest przedstawienie kroków, które należy wykonać, aby skonfigurować certyfikat dostępu OKMS dla produktów Data Security i zarządzać nim.

Wymagania początkowe

Posiadanie konta klienta OVHcloud.
Zamówienie usługi OVHcloud KMS

Dostęp do Panelu klienta OVHcloud

Link bezpośredni:
Ścieżka nawigacji: Tożsamość, bezpieczeństwo i operacje > Key Management Service > Wybierz domenę OKMS

W praktyce

Opis certyfikatu dostępu OKMS

Aby komunikować się z domeną OKMS, potrzebny jest certyfikat dostępu. Jest to jedna z trzech metod uwierzytelniania OKMS; certyfikaty są wymagane w przypadku KMIP i zalecane, gdy potrzebne jest uwierzytelnianie klienta mTLS. W przypadku korzystania z interfejsu REST API osobisty token dostępu (Personal Access Token) lub konto serwisowe jest zwykle prostsze do skonfigurowania.

Certyfikat dostępu jest ważny wyłącznie dla domeny, dla której został wygenerowany.

Warning

Wyłącznie tworzenie certyfikatu z użyciem CSR jest objęte certyfikacją PCI-DSS.

Tworzenie certyfikatu dostępu z poziomu KMS

Panel klienta OVHcloud

API OVHcloud

Ten certyfikat można utworzyć z poziomu dedykowanej sekcji KMS.

W zakładce Certyfikaty dostępu kliknij Utwórz certyfikat dostępu.

Pierwsza część formularza umożliwia określenie okresu ważności, wybór algorytmu podpisu oraz opcjonalne podanie własnego żądania podpisania certyfikatu (CSR), jeśli posiadasz własny klucz prywatny.

Bez podawania klucza prywatnego

Jeśli nie podasz CSR, OVHcloud wygeneruje certyfikat oraz klucz prywatny.

Z użyciem CSR

Jeśli posiadasz własny klucz prywatny, możesz go użyć wraz z CSR.

Druga część formularza umożliwia wskazanie tożsamości OVHcloud powiązanych z certyfikatem, na podstawie których obliczane są prawa dostępu za pośrednictwem OVHcloud IAM.

Do certyfikatu można dodać tożsamość root, aby nie podlegać ograniczeniom OVHcloud IAM.

Następnie należy pobrać klucz prywatny certyfikatu.

Danger

Klucz prywatny nie będzie później dostępny. W razie jego utraty konieczne będzie ponowne wygenerowanie certyfikatu.

Warning

Pole privateKeyPEM należy zmodyfikować w taki sposób, aby wszystkie wystąpienia \n zostały zastąpione znakami końca wiersza.

Na koniec możesz pobrać klucz publiczny certyfikatu z poziomu panelu.

Ten certyfikat możesz wygenerować, pozwalając OVHcloud wygenerować klucz prywatny lub podając własne żądanie podpisania certyfikatu (CSR), jeśli posiadasz własny klucz prywatny.

Bez podawania klucza prywatnego

Jeśli nie podasz CSR, OVHcloud wygeneruje certyfikat dostępu wraz z kluczem prywatnym.

Certyfikat możesz wygenerować za pomocą następującego wywołania API:

POST/okms/resource/{okmsId}/credential

Należy podać następujące informacje:

name: nazwa certyfikatu
identityURNs: lista tożsamości OVHcloud w formacie URN, które zostaną przekazane do IAM w celu obliczenia praw dostępu
description: opis certyfikatu (opcjonalnie)
certificateType: algorytm podpisu certyfikatu (ECDSA lub RSA) – domyślnie ECDSA (opcjonalnie)
validity: okres ważności certyfikatu w dniach – domyślnie 365 dni (opcjonalnie)

Przykład tworzenia certyfikatu z użyciem konta root:

{
  "description": "My root access credential",
  "identityURNs": [
    "urn:v1:eu:identity:account:xx1111-ovh"
  ],
  "name": "root",
  "validity": 30
}

Przykład tworzenia certyfikatu z użyciem lokalnego użytkownika:

{
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "name": "John Smith",
  "validity": 30
}

Następnie API zwraca status tworzenia certyfikatu:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "certificateType": "ECDSA",
  "status": "CREATING",
  "fromCSR": false,
  "privateKeyPEM": "-----BEGIN EC PRIVATE KEY-----\nMHcCAQEEIDOfWuMVQxl5quoURzThF4zTI9YYTmylSaPjneLBwP+2oAoGCCqGSM49\nAwEHoUQDQgAERd1eMw0YdAD+E9oSymGc4bCL1mfJl0EZwoM2ya/uKFFVFnGMnckg\nXXXXXXXXXXXXXXX==\n-----END EC PRIVATE KEY-----\n",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Skopiuj wartość pola privateKeyPEM do pliku domain.key

Danger

Klucz prywatny nie będzie później dostępny. W razie jego utraty konieczne będzie ponowne wygenerowanie certyfikatu.

Warning

Pole privateKeyPEM należy zmodyfikować w taki sposób, aby wszystkie wystąpienia \n zostały zastąpione znakami końca wiersza.

Następnie skopiuj identyfikator certyfikatu i uzyskaj dostęp do jego szczegółów za pomocą API:

GET/okms/resource/{okmsId}/credential/{credentialId}

API zwraca certyfikat w formacie PEM:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "status": "READY",
  "fromCSR": false,
  "certificateType": "ECDSA",
  "certificatePEM": "-----BEGIN CERTIFICATE-----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\nDlyP5HhrWyFB9BICIDl5wtUWgCmo6TjOqXXXXXXXXXXXXXX\n-----END CERTIFICATE-----",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Skopiuj wartość pola certificatePEM do pliku client.cert.

Warning

Pole certificatePEM należy zmodyfikować w taki sposób, aby wszystkie wystąpienia \n zostały zastąpione znakami końca wiersza.

Z użyciem CSR

Jeśli posiadasz własny klucz prywatny, możesz go użyć, podając CSR.

Certyfikat możesz wygenerować za pomocą następującego wywołania API:

POST/okms/resource/{okmsId}/credential

Należy podać następujące informacje:

name: nazwa certyfikatu
identityURNs: lista tożsamości OVHcloud w formacie URN, które zostaną przekazane do IAM w celu obliczenia praw dostępu
description: opis certyfikatu (opcjonalnie)
validity: okres ważności certyfikatu w dniach – domyślnie 365 dni (opcjonalnie)
csr: zawartość CSR

Warning

CSR musi być w formacie JSON. Plik CSR należy zmodyfikować w taki sposób, aby nie zawierał znaków końca wiersza; zamiast nich w miejscach dawnych podziałów wiersza należy wstawić \n (patrz przykład poniżej). Możesz również skorzystać z dostępnych online narzędzi innych firm, aby dostosować zawartość do prawidłowego formatu JSON.

Przykład tworzenia certyfikatu:

{
  "csr": "-----BEGIN CERTIFICATE REQUEST-----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\n97Ob1alpHPoZ7mWiEXXXXXXXXXXXXX\n-----END CERTIFICATE REQUEST-----",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "name": "John Smith",
  "validity": 30
}

Następnie API zwraca status tworzenia certyfikatu:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "status": "CREATING",
  "fromCSR": true,
  "certificateType": "ECDSA",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Skopiuj identyfikator certyfikatu i uzyskaj dostęp do jego szczegółów za pomocą następującego wywołania API:

GET/okms/resource/{okmsId}/credential/{credentialId}

API zwraca certyfikat w formacie PEM:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "status": "READY",
  "fromCSR": true,
  "certificateType": "ECDSA",
  "certificatePEM": "-----BEGIN CERTIFICATE-----\nMIIBqTCCAVCgAwIBAgIRAPGLXg11uECjmw5x/+X/A8swCgYIKoZIzj0EAwIwFTET\nMBEGA1UEAxMKQ0NNVXNlcnNDQTAeFw0yNDA0MDQxMDI2MjhaFw0yNTA0MDQxMDI2\nMjhaMC8xLTArBgNVBAMTJGU5MGM1ODQxLWYzOWUtNDk4My04NTk2LTYyZmYwYzUz\nOGI2YjBZMBMGByqGSM49AgEGCCqGSM49AwEHA0IABEXdXjMNGHQA/hPaEsphnOGw\ni9ZnyZdBGcKDNsmv7ihRVRZxjJ3JICEusleqD4lE27DAAdzbRdqAhpCqsTks+sSj\nZzBlME4GA1UdEQEB/wREMEKgQAYKKwYBBAGCNxQCA6AyDDBva21zLmRvbWFpbjpl\nOTBjNTg0MS1mMzllLTQ5ODMtODU5Ni02MmZmMGM1MzhiNmIwEwYDVR0lBAwwCgYI\nKwYBBQUHAwIwCgYIKoZIzj0EAwIDRwAwRAIgdWGYm1UQMg0sTIgROFH5mWiAh/lk\nDlyP5HhrWyFB9BICIDl5wtUWgCmo6TjOqXXXXXXXXXXXXXX\n-----END CERTIFICATE-----",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Skopiuj wartość pola certificatePEM do pliku client.cert.

Sprawdź również

Korzystanie z OVHcloud KMS z Twoimi danymi.

Dołącz do grona naszych użytkowników.

Czy ta strona była pomocna?