Mengelola rotasi CA

Halaman ini menjelaskan cara mengelola rotasi CA dalam kumpulan CA. Untuk informasi selengkapnya tentang kumpulan CA, lihat Ringkasan kumpulan CA.

Catatan: Dokumen ini memberikan panduan umum tentang cara mengelola rotasi CA. Sebaiknya organisasi membangun proses mereka secara cermat dan berkonsultasi dengan pakar keamanan.

Memastikan rotasi CA yang lancar

Memastikan rotasi CA yang lancar sangat penting untuk menghindari periode nonaktif layanan, atau untuk menangani keadaan darurat. Prosedur berikut menjelaskan cara merotasi CA dengan lancar.

1. Temukan kumpulan CA untuk CA yang ada yang akan habis masa berlakunya.

2. Buat CA dalam kumpulan CA yang sama. CA dibuat dalam status STAGED dan tidak dapat menerbitkan sertifikat melalui load balancing kumpulan CA. CA dalam status STAGED hanya dapat menerbitkan sertifikat jika diminta langsung oleh klien. Untuk informasi selengkapnya tentang status CA, lihat negara bagian CA.

3. Pastikan semua klien telah mendownload kumpulan sertifikat CA terbaru dari kumpulan CA.

   Catatan: Pastikan semua klien Anda telah menerima sertifikat baru. Klien harus menggunakan fetchCaCerts API untuk mengambil sertifikat CA. Jika telah mengonfigurasi klien untuk mendownload kumpulan sertifikat terbaru secara otomatis dari kumpulan CA, Anda harus menunggu hingga semua klien mendapatkan sertifikat baru. Jika tidak, Anda dapat secara eksplisit memublikasikan kumpulan sertifikat baru ke klien.

4. Ubah status CA baru menjadi ENABLED. Hal ini memastikan bahwa sertifikat dapat diterbitkan dari CA lama dan baru. Untuk informasi tentang cara mengaktifkan certificate authority, lihat Mengaktifkan CA.

   Catatan: Untuk memastikan bahwa sertifikat baru tidak menyebabkan pemadaman layanan, kini Anda dapat memilih untuk menunggu dan memantau lingkungan Anda.

5. Ubah status CA lama menjadi DISABLED. Hal ini memastikan bahwa sertifikat hanya dapat diterbitkan dari CA baru. Untuk informasi tentang cara menonaktifkan certificate authority, lihat Menonaktifkan CA.

   Catatan: CA dalam status DISABLED masih dipercaya oleh klien dan diberikan dalam trust anchor untuk kumpulan CA.

6. Tunggu hingga semua klien berhenti menggunakan sertifikat yang diterbitkan dari CA lama. Anda dapat memastikannya dengan dua cara:

   • Anda dapat menunggu masa berlaku sertifikat maksimum.
   • Anda dapat memantau sertifikat yang sedang digunakan oleh klien.

7. Hapus CA lama. Untuk informasi selengkapnya tentang menghapus CA, lihat Menghapus certificate authority.

Langkah selanjutnya

• Pelajari negara bagian CA lebih lanjut.
• Pelajari cara mengelola status CA.
• Pelajari cara memperbarui CA.