PKI-Integrationsgrenzen
Einführung · 4 Abschnitte · ~11 Min Lesezeit · Stand
Die Betriebsfrage
Automatisierung verbindet eine Ausstellungsidentität mit einem Dienstendpunkt. Jede Schnittstelle kann Namen ausweiten, Schlüssel exportieren oder eine falsche Bindung bestätigen, wenn ihr Scope nicht präzise begrenzt ist.
Vier Grenzen pro Integration
- Wer darf für welchen Workload anfordern?
- Welche Namen und Verwendungszwecke dürfen passieren?
- Wo entsteht und verbleibt der private Schlüssel?
- Welches Signal bestätigt die produktive Bindung?
Beispielhafte Rollen
| Ausstellungsclient | Erhält nur die Vorlage und den Namensscope für seinen Workload. |
|---|---|
| Secret- oder Schlüsselgrenze | Schützt Material und erteilt nur notwendige Nutzungsoperationen. |
| Deployment | Darf die definierte Bindung ändern, nicht beliebige Zertifikate lesen. |
| Probe | Liest den realen Endpunkt ohne private Schlüsselzugriff. |
Prüffrage
Kurzcheck
Welche Berechtigung sollte ein Deployment-Job grundsätzlich nicht benötigen?
- Lesen oder Exportieren aller privaten Schlüssel der PKI
- Ändern der freigegebenen TLS-Bindung seines Endpunkts
- Melden seiner Deployment- und Prüfresultate
Richtig. Der Job braucht nur die für seine Bindung vorgesehenen Übergabe- oder Nutzungsrechte.