CA-Rotation verwalten

Auf dieser Seite wird erläutert, wie Sie die Rotation einer Zertifizierungsstelle in einem Zertifizierungsstellenpool verwalten können. Weitere Informationen zu CA-Pools finden Sie unter Übersicht über CA-Pools.

Hinweis: Dieses Dokument enthält eine allgemeine Anleitung zum Verwalten der CA-Rotation. Wir empfehlen Organisationen, ihre Prozesse in Absprache mit Sicherheitsexperten sorgfältig zu konzipieren.

Nahtlose CA-Rotation sicherstellen

Eine nahtlose CA-Rotation ist wichtig, um Dienstausfälle zu vermeiden oder im Notfall zu umgehen. Im Folgenden wird erläutert, wie Sie eine Zertifizierungsstelle nahtlos rotieren können.

1. Suchen Sie den Zertifizierungsstellenpool für die vorhandene Zertifizierungsstelle, die ablaufen soll.

2. Erstellen Sie eine Zertifizierungsstelle im selben Zertifizierungsstellenpool. Die Zertifizierungsstelle wird mit dem Status STAGED erstellt und kann keine Zertifikate über das Load-Balancing des CA-Pools ausstellen. Zertifizierungsstellen mit dem Status STAGED können Zertifikate nur dann ausstellen, wenn sie direkt von den Clients angefordert werden. Weitere Informationen finden Sie unter CA-Bundesstaaten.

3. Prüfen Sie, ob alle Clients die neuesten CA-Zertifikate aus dem CA-Pool heruntergeladen haben.

   Hinweis: Prüfen Sie, ob alle Clients die neuen Zertifikate erhalten haben. Die Clients müssen die fetchCaCerts API verwenden, um die CA-Zertifikate abzurufen. Wenn Sie Ihre Clients so konfiguriert haben, dass die neuesten Zertifikate automatisch aus dem CA-Pool heruntergeladen werden, müssen Sie warten, bis alle Clients die neuen Zertifikate erhalten. Andernfalls können Sie den neuen Satz von Zertifikaten explizit für Ihre Clients veröffentlichen.

4. Ändern Sie den Status der neuen Zertifizierungsstelle in ENABLED. Dadurch wird sichergestellt, dass Zertifikate sowohl von der alten als auch von der neuen Zertifizierungsstelle ausgestellt werden können. Informationen zum Aktivieren von Zertifizierungsstellen finden Sie unter Zertifizierungsstelle aktivieren.

   Hinweis: Damit die neuen Zertifikate keine Ausfälle verursachen, können Sie jetzt warten und Ihre Umgebung im Blick behalten.

5. Ändern Sie den Status der alten Zertifizierungsstelle in DISABLED. Dadurch wird sichergestellt, dass Zertifikate nicht von der alten Zertifizierungsstelle ausgestellt werden. Informationen zum Deaktivieren von Zertifizierungsstellen finden Sie unter Zertifizierungsstelle deaktivieren.

   Hinweis: CAs mit dem Status DISABLED werden von den Clients weiterhin als vertrauenswürdig eingestuft und im Trust-Anchor für den Zertifizierungsstellenpool angegeben.

6. Warten Sie, bis alle Clients die von der alten Zertifizierungsstelle ausgestellten Zertifikate nicht mehr verwenden. Sie können dies auf zwei Arten sicherstellen:

   • Sie können die maximale Lebensdauer des Zertifikats abwarten.
   • Sie können die von Ihren Clients verwendeten Zertifikate überwachen.

7. Löschen Sie die alte Zertifizierungsstelle. Weitere Informationen zum Löschen einer Zertifizierungsstelle finden Sie unter Zertifizierungsstellen löschen.

Nächste Schritte

• Weitere Informationen zu CA-Bundesstaaten
• CA-Status verwalten
• Informationen zum Aktualisieren von Zertifizierungsstellen