CA-Rotation verwalten

Auf dieser Seite wird erläutert, wie Sie die Rotation einer Zertifizierungsstelle in einem Zertifizierungsstellenpool verwalten. Weitere Informationen zu CA-Pools finden Sie unter Übersicht über CA-Pools.

Hinweis: Dieses Dokument enthält eine allgemeine Anleitung zum Verwalten der CA-Rotation. Wir empfehlen Organisationen, ihre Prozesse in Absprache mit Sicherheitsexperten sorgfältig zu entwickeln.

Für eine nahtlose CA-Rotation sorgen

Eine nahtlose CA-Rotation ist wichtig, um Dienstausfälle zu vermeiden oder einen Notfall zu bewältigen. Im Folgenden wird erläutert, wie Sie eine Zertifizierungsstelle nahtlos rotieren können.

1. Suchen Sie den Zertifizierungsstellenpool für die vorhandene Zertifizierungsstelle, die abläuft.

2. Erstellen Sie eine Zertifizierungsstelle im selben Zertifizierungsstellenpool. Die Zertifizierungsstelle wird mit dem Status STAGED erstellt und kann keine Zertifikate über das Load-Balancing des CA-Pools ausstellen. Zertifizierungsstellen mit dem Status STAGED können Zertifikate nur ausstellen, wenn sie direkt von den Clients angefordert werden. Weitere Informationen zu CA-Status finden Sie unter CA-Status.

3. Prüfen Sie, ob alle Clients den neuesten Satz von CA-Zertifikaten aus dem CA-Pool heruntergeladen haben.

   Hinweis :Prüfen Sie, ob alle Ihre Clients die neuen Zertifikate erhalten haben. Die Clients müssen die fetchCaCerts API verwenden, um die CA-Zertifikate abzurufen. Wenn Sie Ihre Clients so konfiguriert haben, dass der neueste Satz von Zertifikaten automatisch aus dem CA-Pool heruntergeladen wird, müssen Sie warten, bis alle Ihre Clients die neuen Zertifikate erhalten haben. Andernfalls können Sie die neuen Zertifikate explizit für Ihre Clients veröffentlichen.

4. Ändern Sie den Status der neuen Zertifizierungsstelle in ENABLED. Dadurch wird sichergestellt, dass Zertifikate sowohl von der alten als auch von der neuen Zertifizierungsstelle ausgestellt werden können. Informationen zum Aktivieren von Zertifizierungsstellen finden Sie unter Zertifizierungsstelle aktivieren.

   Hinweis :Damit die neuen Zertifikate keine Ausfälle verursachen, können Sie jetzt warten und Ihre Umgebung überwachen.

5. Ändern Sie den Status der alten Zertifizierungsstelle in DISABLED. Dadurch wird verhindert, dass Zertifikate von der alten Zertifizierungsstelle ausgestellt werden. Informationen zum Deaktivieren von Zertifizierungsstellen finden Sie unter Zertifizierungsstelle deaktivieren.

   Hinweis: Zertifizierungsstellen mit dem Status DISABLED werden von den Clients weiterhin als vertrauenswürdig eingestuft und im Vertrauensanker für den Zertifizierungsstellenpool bereitgestellt.

6. Warten Sie, bis alle Clients die Zertifikate der alten Zertifizierungsstelle nicht mehr verwenden. Dazu haben Sie zwei Möglichkeiten:

   • Sie können warten, bis die maximale Zertifikatslebensdauer erreicht ist.
   • Sie können die von Ihren Clients verwendeten Zertifikate überwachen.

7. Löschen Sie die alte Zertifizierungsstelle. Weitere Informationen zum Löschen einer Zertifizierungsstelle finden Sie unter Zertifizierungsstellen löschen.

Nächste Schritte

• Weitere Informationen zu CA-Status
• Informationen zum Verwalten von CA-Status
• Zertifizierungsstellen aktualisieren