Was einst ein Luxus war, wird langsam zur Notwendigkeit. Anfang der 2000er Jahre galten digitale Zertifikate als Luxus. Doch in jüngster Zeit, mit zunehmenden Vorschriften und Cybersicherheitsbedrohungen, digitale Zertifikate sind zu einer Notwendigkeit geworden, um Benutzern, Computern, Ressourcen usw. ihre Identität zu verleihen. Da jede Einheit einer Organisation für den Zugriff, die Funktion und den Betrieb ein Zertifikat benötigt, wird die Verwaltung einer so großen Menge an Zertifikaten zu einer der größten Herausforderungen.
In dieser Fallstudie sprechen wir über ein solches Unternehmen, einen Einzelhandelsriesen in den USA mit Filialen im ganzen Land. Als Branchenstörer musste das Unternehmen seine Betriebsabläufe bewerten und ändern, um die Größe des Unternehmens beherrschbar zu machen.
Bei kleineren Organisationen, deren Zertifikatsbedarf weniger als 1000 beträgt, kann dies manuell erfolgen. Für größere Organisationen mit eigenen Richtlinien und Verfahren ist es jedoch eine Herausforderung, sicherzustellen, dass alle Zertifikate den Vorschriften entsprechen und gleichzeitig ihre internen Richtlinien einhalten. Gleichzeitig muss sichergestellt werden, dass alle Zertifikate aktiv sind und es zu keinen Ausfallzeiten oder Ausfällen aufgrund von Missmanagement kommt. Dieses Problem wächst mit der Organisation, bis es unkontrollierbar wird.
Aus diesem Grund sind Lösungen zur Verwaltung des Zertifikatslebenszyklus wie CertSecure Manager bieten Organisationen eine einzigartige, maßgeschneiderte Lösung, die sie bei ihren Bedürfnissen und Anforderungen unterstützt.
Die Herausforderungen
Als einer der großen Akteure im Einzelhandel stand das Unternehmen vor vielen Herausforderungen, die auch andere Unternehmen bewältigen mussten, aber auch vor einigen einzigartigen Herausforderungen. Zu den allgemeinen Herausforderungen zählen:
-
Ausgabeverwaltung
Um den Bedarf einer großen Organisation an Zertifikaten zu decken, benötigen diese Organisationen viele Zertifizierungsstellen Zertifikate auszustellen und termingerecht bereitzustellen. Die Verwaltung verschiedener Zertifizierungsstellen mit ihren Verfahren und die Pflege unterschiedlicher Handbücher mit unterschiedlichen Schulungen für die Mitarbeiter werden jedoch langsam zu einer Unannehmlichkeit.
Eine typische Organisation dieser Größenordnung verfügt über mehr als 20 Domänen (oder Gesamtstrukturen) mit mindestens zwei Zertifizierungsstellen (CAs) in den Hauptgesamtstrukturen, einer Cloud-CA und einer öffentlichen CA. Insgesamt sind das fünf oder mehr CAs.
-
Veraltete Microsoft PKI-Prozesse
Microsoft PKI ist nach wie vor eine der am häufigsten genutzten lokalen privaten PKIs. Da es jedoch kaum Fortschritte bei der Zertifikatsausstellung per Web-Registrierung gibt, müssen Benutzer, die Zertifikate benötigen, andere Prozesse durchlaufen, die die Hilfe anderer Mitarbeiter erfordern. Da es keine REST-API-Unterstützung gibt, ist es für DevOps zudem eine Herausforderung, die rechtzeitige Ausstellung von Zertifikaten sicherzustellen.
-
Warnmeldungen
Da Zertifikate regelmäßig ablaufen, müssen Administratoren wachsam und aufmerksam bleiben, um sicherzustellen, dass auf ihren Anwendungen/Servern keine abgelaufenen Zertifikate verbleiben. Ohne entsprechende Warnmechanismen versäumen Administratoren manchmal die Erneuerung kritischer Zertifikate, was häufig zu Ausfällen führen kann.
Da auch andere Unternehmen mit den oben genannten Problemen konfrontiert sind, hatte unser Kunde einige besondere Wünsche, die wir erfüllen wollten. Diese Wünsche ergeben sich aus den Herausforderungen, vor denen dieses Unternehmen steht, und erfordern eine Lösung, die seinen Bedürfnissen gerecht wird. Diese lauten wie folgt:
-
Domain Gültigkeit
Der Kunde verfügte über ein Netzwerk mit über 50 Domänen und suchte nach einer Möglichkeit, Domänen auszusortieren, die nicht explizit auf der Whitelist stehen. Die Organisation wollte, dass bestimmte Domänen autorisiert werden und dass Benutzer, die Zertifikate für Domänen anfordern, die nicht auf der Whitelist stehen, automatisch abgelehnt werden.
Dies trägt dazu bei, menschliche Fehler zu reduzieren, die aufgrund falscher Domänennamen zu Ausfällen führen können. Dies verbessert auch die Sicherheit, da Benutzer keine Zertifikate für andere Domänen anfordern können, was ihnen bei Identitätsbetrug im Unternehmen hilft.
-
Wildcard-Zertifikate
Ähnlich wie beim vorherigen Fall wollte die Organisation auch hier jegliche Anfragen ablehnen.
-
CA-Einschränkungen
Der Kunde wollte außerdem, dass einige Zertifizierungsstellen eingeschränkt und für jedermann unzugänglich sind. Dies betrifft vor allem öffentliche Zertifizierungsstellen, da die von diesen ausgestellten Zertifikate mit Kosten verbunden sind. Diese eingeschränkten Zertifizierungsstellen sollten nur einem Teil der Personen innerhalb der Organisation zugänglich sein.
-
Abteilungsabschottung
Da es innerhalb der Organisation mehrere Abteilungen gibt, wollten die Beteiligten, dass wir die Benutzer auf verschiedene Abteilungen aufteilen, um eine einfachere Zertifikatsverwaltung zu gewährleisten.
Dadurch wird auch sichergestellt, dass bestimmte Abteilungen auf bestimmte Zertifizierungsstellen zugreifen können. Beispielsweise wollte der Kunde nicht, dass das Entwicklungsteam Zugriff auf die vom Produktionsteam verwendeten Zertifizierungsstellen hat. Dies kann zu einer Vermischung von Zertifikaten führen, was die Identifizierung der verwendeten Zertifikate erschweren kann.
-
DevOPS
Der Kunde hatte auch Herausforderungen im Zusammenhang mit dem DevOPS-Team, das Zugriff auf die Rest-API benötigte, um Zertifikate anzufordern und zu erhalten.
Diese Herausforderungen und Wünsche waren der Motor für die Bemühungen der Organisation, die passende Lösung für ihre Bedürfnisse zu finden. Die Herausforderungen führten zu erheblichen Problemen bei der operativen Leistungsfähigkeit und behinderten ihr Wachstum.
Lösung
Als der Kunde mit diesen Herausforderungen an uns herantrat, mussten wir viel Zeit investieren, um seine individuelle Situation zu analysieren und zu verstehen. Jede Organisation hat ihre eigenen Prozesse und Verfahren, und wir wollten sicherstellen, dass wir diese verstehen, bevor wir auf ihre Bedürfnisse eingehen. Mit CertSecure Manager Wir haben nicht nur alle ihre Probleme gelöst, sondern auch weitere Bereiche gefunden, in denen wir der Organisation helfen können, sich zu verbessern. Wir haben uns auf folgende Lösungen konzentriert:
-
Immer erreichbar
Da die Geschäfte und Büros über das ganze Land verteilt sind, wollten wir alle Ressourcen miteinander verbinden und sicherstellen, dass auch alle Mitarbeiter, die von zu Hause aus arbeiten, Zugriff auf CertSecure haben.
Dies bot dem Unternehmen zwei Optionen: Cloud und SaaS. Da der Kunde die Kontrolle bei minimaler Latenz behalten wollte, entschied er sich für die Cloud-Bereitstellung, um seine gesamte Infrastruktur zu verbinden und Benutzern außerhalb des Netzwerks Zugriff zu gewähren.
-
Zusammenlegung von Zertifizierungsstellen
Dank mehrerer Zertifizierungsstellen haben wir dem Kunden eine zentrale Oberfläche zur Anzeige und Kontrolle der Zertifikate bereitgestellt. Alle Zertifizierungsstellen sind über CA-Konnektoren mit der Umgebung verbunden und synchronisiert.
Dies ermöglicht es Kunden, Zertifikate über ein einziges Portal auszustellen, zu widerrufen und zu erneuern. Dies reduziert den Schulungsaufwand und vereinfacht die Prozesse und Verfahren, die das Unternehmen befolgen muss. Dies ermöglicht auch neuere Protokolle wie Rest-APIs, ACME, EST und mehr für die DevOPS und IoT Team.
-
RBAC
Angesichts der großen Benutzerbasis wollte das Unternehmen den registrierten Benutzern nur minimale Kontrolle gewähren. Das Prinzip der geringsten Privilegien wird mit verschiedenen Rollen und einer granularen Zugriffskontrolle angewendet, um sicherzustellen, dass Benutzer nur die vom Unternehmen festgelegten Berechtigungen erhalten.
-
Integration und Warnungen
Organisationen können ihren CertSecure Manager jetzt mit Teams, ServiceNow und E-Mail verbinden, um regelmäßige Benachrichtigungen zu erhalten. Diese Benachrichtigungen enthalten Informationen zu Zertifikaten, die in der kommenden Woche ablaufen, und liefern nützliche Einblicke in die Organisation. CertSecure Manager bietet außerdem Berichte für die Datenanalyse, um die Infrastruktur besser zu verstehen und zu verwalten.
-
Richtlinienmodul
CertSecure Manager verfügt über ein einzigartiges Richtlinienmodul, das die Wiederverwendung von CSR- und Wildcard-Zertifikaten einschränken kann. Dadurch werden alle Zertifikatsanfragen, die gegen die Richtlinie verstoßen, eingeschränkt und automatisch abgelehnt. Dies umfasst auch die Domänenvalidierung, bei der Unternehmen Domänen auf eine Whitelist setzen müssen. Zertifikatsanfragen für Domänen, die nicht auf der Whitelist stehen, werden automatisch abgelehnt.
-
Arbeitsablauf
Organisationen können CAs und Vorlagen für eine bestimmte CA einschränken. Dadurch werden alle Zertifikatsanforderungen eingeschränkt und erfordern vor der Ausstellung eine ausdrückliche Genehmigung. Nur Benutzer mit ausdrücklicher Genehmigungsberechtigung können diese Anforderungen genehmigen.
-
Abteilungen
CertSecure Manager ermöglicht die Zusammenarbeit verschiedener Abteilungen und trennt die Benutzerbasis entsprechend. Jede Abteilung verfügt über einen eigenen PKIAdmin, der alle Ressourcen und Benutzer der jeweiligen Abteilung überwacht und verwaltet. Darüber hinaus gibt es globale PKIAdmins, die Zugriff auf alle Abteilungen haben und alle Ressourcen der gesamten Organisation überwachen und darauf zugreifen können.
-
Organisationsdetails
Da menschliche Fehler immer noch häufig vorkommen, wünschte sich die Organisation eine korrekte Kennzeichnung der Zertifikate. Die Organisation kann Optionen für bereits vorhandene Organisationsdetails wie Ort, Bundesland, Ländercode, Abteilung usw. bereitstellen. Benutzer können keine Werte verwenden, die nicht von den Administratoren bereitgestellt wurden.
-
Automation
CertSecure Manager bietet die Möglichkeit von Erneuerungsagenten, die mit Servern wie IIS, Apache und Tomcat, Load Balancern wie F5 oder benutzerdefinierten Anwendungen konfiguriert werden können. Diese Agenten stellen sicher, dass die verwendeten Zertifikate aktiv sind und vor Ablauf automatisch erneuert werden. So unterstützen sie Unternehmen bei ihren Prozessen ohne menschliches Eingreifen.
Diese Funktionen halfen der Organisation nicht nur bei ihren Anforderungen, sondern verbesserten auch ihre Prozesse. Beim Einreichen eines CSR, können Benutzer die Eigenschaften im Webportal selbst anzeigen, ohne auf OpenSSL oder Websites von Drittanbietern angewiesen zu sein.
Fazit
Abschließend CertSecure Manager Umfassende Funktionen, maßgeschneiderte Lösungen und der Fokus auf Automatisierung und Sicherheit haben sich deutlich verbessert Zertifikatslebenszyklusverwaltung für Organisationen im Einzelhandelssektor, indem es wichtige Herausforderungen angeht und eine skalierbare, effiziente und sichere Plattform für die Verwaltung digitaler Zertifikate bereitstellt.