Smallstep

step-ca 0.30.2 als SSH-Zertifizierungsstelle, getestet mit OpenSSH 10.0. Warum Zertifikate besser sind als authorized_keys und Vertrauen beim ersten Kontakt, das Einschalten der SSH-CA bei der ersten Einrichtung von step-ca, das Signieren eines Host-Schlüssels (und die Reihenfolge der Argumente, über die man stolpert), die zwei Zeilen in sshd_config und die einzelne @cert-authority-Zeile in known_hosts, ein Benutzerzertifikat für 16 Stunden, vier Anmeldetests einschließlich falschem Benutzer und nicht vertrauenswürdigem Host, das Erneuern eines Host-Zertifikats mit sshpop, und wo es an seine Grenzen kommt.

step-ca 0.30.2 stellt Client-Zertifikate für Mutual TLS aus, durchgehend getestet mit nginx 1.30.5 und Caddy 2.11.7. Warum Telefone der schwierige Fall sind, die Anhebung der 24-Stunden-Grenze für Zertifikate in ca.json, das Einschalten der CRL, warum sie mit „different CRL scope“ scheitert, bis idpURL und eine Vorlage einen passenden Verteilungspunkt eintragen, die Root-CRL, die nginx für die ganze Kette braucht, das Veröffentlichen der CRLs über einfaches HTTP auf IPv4 und IPv6, der Refresh-Job, der verhindert, dass eine abgelaufene CRL alle aussperrt, und das Ausstellen, Verpacken, Installieren und Widerrufen des Zertifikats eines Telefons.

Smallsteps step-ca 0.30.2 in einem Podman- oder Docker-Container als Zertifizierungsstelle für alles im Haus, alles getestet. Warum eine private CA für interne Namen besser ist als selbstsignierte Zertifikate und öffentliche, der Start mit eingeschaltetem ACME und SSH, die zwei Passwörter, die das Image erzeugt, und wohin jedes gehört, der Root auf jedem Gerät, internes HTTPS für Caddy oder alles andere, was ACME spricht, und step ca renew für Dienste, die es nicht tun. Client-Zertifikate und SSH haben je einen eigenen Beitrag.