# PKI-Integrationsgrenzen

> CA, Secrets-Systeme, Load Balancer und Automatisierung über minimale Berechtigungen und beweisbare Übergaben koppeln.

Track: [PKI, Zertifikate & TLS-Lifecycle](https://opsmith.app/learn/pki-tls-operations)  
Kanonische Fassung: https://opsmith.app/learn/pki-tls-operations/pki-integration-boundaries  
Stand: 2026-07-30  
Interaktiver Teil: 3 Checks (nur im Browser)

## PKI-Integrationsgrenzen

### Die Betriebsfrage

Automatisierung verbindet eine Ausstellungsidentität mit einem Dienstendpunkt. Jede Schnittstelle kann Namen ausweiten, Schlüssel exportieren oder eine falsche Bindung bestätigen, wenn ihr Scope nicht präzise begrenzt ist.

> **Lernziel:** Du kannst für eine Zertifikatsintegration Berechtigungen, Datenfluss, Schlüsselgrenze und Verifikationssignal getrennt prüfen.

### Vier Grenzen pro Integration

Wer darf für welchen Workload anfordern? → Welche Namen und Verwendungszwecke dürfen passieren? → Wo entsteht und verbleibt der private Schlüssel? → Welches Signal bestätigt die produktive Bindung?

### Beispielhafte Rollen

|  |  |
| --- | --- |
| Ausstellungsclient | Erhält nur die Vorlage und den Namensscope für seinen Workload. |
| Secret- oder Schlüsselgrenze | Schützt Material und erteilt nur notwendige Nutzungsoperationen. |
| Deployment | Darf die definierte Bindung ändern, nicht beliebige Zertifikate lesen. |
| Probe | Liest den realen Endpunkt ohne private Schlüsselzugriff. |

### Prüffrage

**Kurzcheck:** Welche Berechtigung sollte ein Deployment-Job grundsätzlich nicht benötigen?

- [x] Lesen oder Exportieren aller privaten Schlüssel der PKI
- [ ] Ändern der freigegebenen TLS-Bindung seines Endpunkts
- [ ] Melden seiner Deployment- und Prüfresultate

> Richtig. Der Job braucht nur die für seine Bindung vorgesehenen Übergabe- oder Nutzungsrechte.

## Quellen

- csrc.nist.gov/pubs/sp/800/57/pt1/r5/final — https://csrc.nist.gov/pubs/sp/800/57/pt1/r5/final
- rfc-editor.org/rfc/rfc8555 — https://www.rfc-editor.org/rfc/rfc8555