CA-Rotation verwalten

Auf dieser Seite wird erläutert, wie Sie die Rotation einer Zertifizierungsstelle in einem Zertifizierungsstellenpool verwalten können. Weitere Informationen zu CA-Pools finden Sie unter Übersicht über CA-Pools.

Hinweis: Dieses Dokument enthält eine allgemeine Anleitung zum Verwalten der CA-Rotation. Wir empfehlen Organisationen, ihre Prozesse in Absprache mit Sicherheitsexperten sorgfältig zu konzipieren.

Nahtlose CA-Rotation sicherstellen

Eine nahtlose CA-Rotation ist unerlässlich, um Dienstausfälle zu vermeiden oder im Notfall zu reagieren. Im Folgenden wird erläutert, wie Sie eine Zertifizierungsstelle nahtlos rotieren können.

1. Suchen Sie den CA-Pool für die vorhandene CA, die bald abläuft.

2. Erstellen Sie im selben Zertifizierungsstellenpool eine Zertifizierungsstelle. Die Zertifizierungsstelle wird mit dem Status STAGED erstellt und kann keine Zertifikate über das Load-Balancing des CA-Pools ausstellen. Zertifizierungsstellen mit dem Status STAGED können Zertifikate nur dann ausstellen, wenn sie direkt von den Clients angefordert werden. Weitere Informationen finden Sie unter CA-Bundesstaaten.

3. Prüfen Sie, ob alle Clients die neuesten CA-Zertifikate aus dem CA-Pool heruntergeladen haben.

   Hinweis: Prüfen Sie, ob alle Ihre Kunden die neuen Zertifikate erhalten haben. Die Clients müssen die fetchCaCerts API verwenden, um die CA-Zertifikate abzurufen. Wenn Sie Ihre Clients so konfiguriert haben, dass sie die neuesten Zertifikate automatisch aus dem CA-Pool herunterladen, müssen Sie warten, bis alle Ihre Clients die neuen Zertifikate erhalten haben. Andernfalls können Sie den neuen Satz von Zertifikaten explizit für Ihre Clients veröffentlichen.

4. Ändern Sie den Status der neuen Zertifizierungsstelle in ENABLED. Dadurch wird sichergestellt, dass Zertifikate sowohl von der alten als auch von der neuen Zertifizierungsstelle ausgestellt werden können. Informationen zum Aktivieren von Zertifizierungsstellen finden Sie unter Zertifizierungsstelle aktivieren.

   Hinweis: Sie können warten und Ihre Umgebung beobachten, um sicherzustellen, dass die neuen Zertifikate keine Ausfälle verursachen.

5. Ändern Sie den Status der alten Zertifizierungsstelle in DISABLED. Dadurch wird sichergestellt, dass Zertifikate nicht von der alten Zertifizierungsstelle ausgestellt werden. Informationen zum Deaktivieren von Zertifizierungsstellen finden Sie unter Zertifizierungsstelle deaktivieren.

   Hinweis: CAs mit dem Status DISABLED werden von den Clients weiterhin als vertrauenswürdig eingestuft und im Trust-Anchor für den Zertifizierungsstellenpool angegeben.

6. Warten Sie, bis alle Clients die von der alten Zertifizierungsstelle ausgestellten Zertifikate nicht mehr verwenden. Sie können dies auf zwei Arten sicherstellen:

   • Sie können warten, bis die maximale Lebensdauer des Zertifikats abgelaufen ist.
   • Sie können die von Ihren Clients verwendeten Zertifikate überwachen.

7. Löschen Sie die alte Zertifizierungsstelle. Weitere Informationen zum Löschen einer Zertifizierungsstelle finden Sie unter Zertifizierungsstellen löschen.

Nächste Schritte

• Weitere Informationen zu CA-Bundesstaaten
• CA-Status verwalten
• Informationen zum Aktualisieren von Zertifizierungsstellen