Modelo de confianza

Segundo plano

En una infraestructura de clave pública (PKI) web típica, millones de clientes de todo el mundo confían en un conjunto de autoridades certificadoras (AC) independientes para afirmar identidades (como nombres de dominio) en los certificados. Como parte de sus responsabilidades, las AC se comprometen a emitir certificados solo cuando hayan validado de forma independiente la identidad en ese certificado. Por ejemplo, una AC suele necesitar verificar que quien solicita un certificado para el nombre de dominio example.com realmente controle dicho dominio antes de emitirle un certificado. Dado que esas AC pueden emitir certificados para millones de clientes con los que es posible que no tengan una relación directa existente, se limitan a afirmar identidades que se pueden verificar públicamente. Esas AC se limitan a ciertos procesos de verificación bien definidos que se aplican de manera coherente en la PKI web.

A diferencia de la PKI web, una PKI privada suele implicar una jerarquía de AC más pequeña, que una organización administra directamente. Una PKI privada envía certificados solo a clientes que confían de forma inherente en que la organización tiene los controles adecuados (por ejemplo, máquinas que pertenecen a esa organización). Dado que los administradores de AC suelen tener sus propias formas de validar las identidades para las que emiten certificados (por ejemplo, emitir certificados a sus propios empleados), no están limitados por los mismos requisitos que para la PKI web. Esta flexibilidad es una de las principales ventajas de la PKI privada sobre la PKI web. Una PKI privada permite nuevos casos de uso, como la protección de sitios web internos con nombres de dominio cortos sin requerir la propiedad única de esos nombres, o la codificación de formatos de identidades alternativas (como los IDs SPIFFE) en un certificado.

El objetivo de Certificate Authority Service es simplificar el proceso de administración de la PKI privada, ya que te permite crear y administrar AC con facilidad. Por lo tanto, el servicio de AC no define cómo se deben validar las identidades en los certificados. Sin embargo, el servicio de AC proporciona un conjunto sólido de controles de políticas que permite la configuración detallada de los grupos de AC. Para obtener más información, consulta Controles de políticas.

¿Qué sigue?