Gerar um certificado de acesso OKMS

Faça a gestão dos seus certificados de acesso para os seus produtos de Data Security

Objetivo

O objetivo deste manual é apresentar as diferentes etapas para criar e gerir os seus certificados de acesso OKMS nos seus produtos de Data Security.

Requisitos

Dispor de uma conta de cliente OVHcloud.
Ter encomendado um KMS OVHcloud

Acesso à Área de Cliente OVHcloud

Ligação direta:
Caminho de navegação: Identidade, Segurança e Operações > Key Management Service > Selecione o seu domínio OKMS

Instruções

Descrição dos certificados de acesso OKMS

Para comunicar com o seu domínio OKMS, tem de dispor de um certificado de acesso. Trata-se de um dos três métodos de autenticação OKMS; os certificados são obrigatórios para o KMIP e recomendados quando é necessária a autenticação de cliente mTLS. Para a utilização da API REST, um token de acesso pessoal (PAT) ou uma conta de serviço é geralmente mais simples de configurar.

Um certificado de acesso só é válido para o domínio para o qual foi gerado.

Warning

Apenas a geração de certificados com um CSR está abrangida pela certificação PCI-DSS.

Criar um certificado de acesso a partir do KMS

Área de Cliente OVHcloud

API OVHcloud

É possível criar este certificado a partir do menu dedicado do KMS.

No separador Certificados de acesso, clique no botão Criar um certificado de acesso.

A primeira parte do formulário permite-lhe especificar o seu período de validade, selecionar o algoritmo de assinatura, bem como fornecer ou não o seu Certificate Signing Request (CSR) caso possua a sua própria chave privada.

Sem fornecer uma chave privada

Se não fornecer um CSR, a OVHcloud gerará o certificado de acesso, bem como uma chave privada.

Com um CSR

Se dispuser da sua própria chave privada, é possível utilizá-la fornecendo um CSR.

A segunda parte do formulário permite indicar as identidades OVHcloud associadas ao certificado que permitem calcular os direitos de acesso através do IAM OVHcloud.

É possível adicionar a identidade root ao certificado para não ficar limitado pelo IAM OVHcloud.

Em seguida, é necessário descarregar a chave privada do certificado.

Danger

A chave privada deixará de estar acessível posteriormente. Em caso de perda, será necessário voltar a gerar um certificado.

Warning

O campo privateKeyPEM deve ser modificado de modo a substituir as ocorrências de \n por mudanças de linha.

Por fim, é possível descarregar a chave pública do certificado a partir do painel de controlo.

É possível gerar este certificado deixando a OVHcloud gerar a chave privada, ou fornecendo o seu Certificate Signing Request (CSR) caso possua a sua própria chave privada.

Sem fornecer uma chave privada

Se não fornecer um CSR, a OVHcloud gerará o certificado de acesso, bem como uma chave privada.

A geração do certificado é efetuada através da seguinte API:

POST/okms/resource/{okmsId}/credential

É necessário indicar as seguintes informações:

name: o nome do certificado
identityURNs: lista de identidades OVHcloud num formato URN que serão fornecidas ao IAM para o cálculo dos direitos de acesso
description: descrição do certificado (facultativo)
certificateType: algoritmo de assinatura do certificado (ECDSA ou RSA) - ECDSA por predefinição (facultativo)
validity: período de validade do certificado em dias - 365 dias por predefinição (facultativo)

Exemplo de criação de um certificado com a conta root:

{
  "description": "My root access credential",
  "identityURNs": [
    "urn:v1:eu:identity:account:xx1111-ovh"
  ],
  "name": "root",
  "validity": 30
}

Exemplo de criação de um certificado com uma conta de utilizador local:

{
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "name": "John Smith",
  "validity": 30
}

A API devolve, em seguida, o estado de criação do certificado:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "certificateType": "ECDSA",
  "status": "CREATING",
  "fromCSR": false,
  "privateKeyPEM": "-----BEGIN EC PRIVATE KEY-----\nMHcCAQEEIDOfWuMVQxl5quoURzThF4zTI9YYTmylSaPjneLBwP+2oAoGCCqGSM49\nAwEHoUQDQgAERd1eMw0YdAD+E9oSymGc4bCL1mfJl0EZwoM2ya/uKFFVFnGMnckg\nXXXXXXXXXXXXXXX==\n-----END EC PRIVATE KEY-----\n",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Copie o valor do campo privateKeyPEM para um ficheiro domain.key

Danger

A chave privada deixará de estar acessível posteriormente. Em caso de perda, será necessário voltar a gerar um certificado.

Warning

O campo privateKeyPEM deve ser modificado de modo a substituir as ocorrências de \n por mudanças de linha.

Em seguida, copie o ID do certificado e aceda ao seu detalhe através da API:

GET/okms/resource/{okmsId}/credential/{credentialId}

A API devolve o certificado em formato PEM:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "status": "READY",
  "fromCSR": false,
  "certificateType": "ECDSA",
  "certificatePEM": "-----BEGIN CERTIFICATE-----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\nDlyP5HhrWyFB9BICIDl5wtUWgCmo6TjOqXXXXXXXXXXXXXX\n-----END CERTIFICATE-----",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Copie o valor do campo certificatePEM para um ficheiro client.cert.

Warning

O campo certificatePEM deve ser modificado de modo a substituir as ocorrências de \n por mudanças de linha.

Com um CSR

Se dispuser da sua própria chave privada, é possível utilizá-la fornecendo um CSR.

A geração do certificado é efetuada através da seguinte API:

POST/okms/resource/{okmsId}/credential

É necessário indicar as seguintes informações:

name: o nome do certificado
identityURNs: lista de identidades OVHcloud num formato URN que serão fornecidas ao IAM para o cálculo dos direitos de acesso
description: descrição do certificado (facultativo)
validity: período de validade do certificado em dias - 365 dias por predefinição (facultativo)
csr: o conteúdo do CSR

Warning

O CSR deve estar no formato JSON. O ficheiro deve ser modificado de modo a substituir as mudanças de linha por \n (consulte o exemplo abaixo). Também pode utilizar ferramentas de terceiros online para adaptar o conteúdo a um formato JSON adequado.

Exemplo de criação de um certificado:

{
  "csr": "-----BEGIN CERTIFICATE REQUEST-----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\n97Ob1alpHPoZ7mWiEXXXXXXXXXXXXX\n-----END CERTIFICATE REQUEST-----",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "name": "John Smith",
  "validity": 30
}

A API devolve, em seguida, o estado de criação do certificado:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "status": "CREATING",
  "fromCSR": true,
  "certificateType": "ECDSA",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Copie o ID do certificado e aceda ao seu detalhe através da API:

GET/okms/resource/{okmsId}/credential/{credentialId}

A API devolve o certificado em formato PEM:

{
  "id": "f18b5e0d-75b8-40a3-9b0e-XXXXXX",
  "name": "John Smith",
  "description": "My access credential",
  "identityURNs": [
    "urn:v1:eu:identity:user:xx1111-ovh/john.smith",
    "urn:v1:eu:identity:group:xx1111-ovh/my_group"
  ],
  "status": "READY",
  "fromCSR": true,
  "certificateType": "ECDSA",
  "certificatePEM": "-----BEGIN CERTIFICATE-----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\nDlyP5HhrWyFB9BICIDl5wtUWgCmo6TjOqXXXXXXXXXXXXXX\n-----END CERTIFICATE-----",
  "createdAt": "2024-04-04T12:26:28.856619+02:00",
  "expiredAt": "2025-04-04T12:26:28.856616+02:00"
}

Copie o valor do campo certificatePEM para um ficheiro client.cert.

Quer saber mais?

Fale com a nossa comunidade de utilizadores.

Esta página foi útil?