EJBCA Agentless CA Connector Integrationsleitfaden
Diese Anleitung beschreibt das Hinzufügen von EJBCA als agentenlose Zertifizierungsstellen-Konnektor (CA) in CertSecure Manager. Im Gegensatz zu agentenbasierten Konnektoren (die die Installation eines Konnektordienstes über die ISO-Datei erfordern) wird die agentenlose Integration vollständig über die CertSecure-Benutzeroberfläche mithilfe der REST-API von EJBCA konfiguriert und erfordert keine Softwareinstallation auf einem separaten Host. EJBCA wird als CA-Typ neben AWS Private CA, GlobalSign, HashiCorp Vault, Google CAS und Let's Encrypt angezeigt.
Hinweis: Es ist kein ISO-/Installationsschritt und kein Registrierungstoken erforderlich. Falls EJBCA in Ihrem Tenant ausgegraut/nicht konfiguriert angezeigt wird, ist es auswählbar, sobald die entsprechende Berechtigung aktiviert ist.
Voraussetzungen:
- Frontend und Backend von CertSecure Manager sind voll funktionsfähig.
- Ihr Konto verfügt über die Berechtigung „Zertifizierungsstellen verwalten“.
- Eine erreichbare EJBCA-Instanz mit aktivierter REST-API (und/oder EST) und der Ziel-CA online.
- Client-Anmeldeinformationen für EJBCA: ein autorisiertes Client-TLS-Zertifikat (mTLS) oder Benutzername/Passwort mit Rechten zur Registrierung und zum Widerruf bei der Ziel-CA.
- Die Namen der zu verwendenden EJBCA-Zertifizierungsstelle, des Endbenutzerprofils und des Zertifikatsprofils.
- Netzwerkverbindung vom CertSecure-Backend zur EJBCA-API (Standard: HTTPS 443/8443).
Verbindungsreferenz
| Artikel | Anforderung / Wert |
|---|---|
| API-Endpunkt | z. B. https://{URL}/ejbca/ejbca-rest-api |
| Authentifizierungstyp | Clientzertifikat + Schlüssel (mTLS) oder Basic |
| CA-Name | Ziel, das eine CA im EJBCA ausstellt |
| End Entity Profil | Regelt Betreff/SAN und zulässige Felder |
| Zertifikatsprofil | Regelt wichtige Algorithmen/Größe, Gültigkeit, EKUs |
Konfigurationsschritte
Schritt 1: EJBCA-Verbindungsdetails erfassen
- Basis-URL / API-Endpunkt.
- Authentifizierungstyp und Anmeldeinformationen (Clientzertifikat + Schlüssel oder Basisauthentifizierung).
- Name der Zertifizierungsstelle, Endbenutzerprofil, Zertifikatsprofil sowie der vom Profil zugelassene Schlüsselalgorithmus/die Schlüssellänge und die Gültigkeitsdauer.
Schritt 2: Fügen Sie die EJBCA-Zertifizierungsstelle in CertSecure hinzu
- Gehen Sie zu Administration > CA-Verwaltung → CA hinzufügen.
- CA-Typ auswählen: EJBCA.
- Geben Sie Folgendes ein: Anzeige-/CA-Name, API-Basis-URL, Authentifizierungstyp + Anmeldeinformationen (Client-Zertifikat/Schlüssel hochladen oder Basic eingeben), CA-/Endentitätsprofil/Zertifikatsprofil und Erneuerungs-/Synchronisierungsintervall.
- Klicken Sie auf Speichern.
Schritt 3: Verbindung prüfen und synchronisieren
- CertSecure validiert den Endpunkt und die Anmeldeinformationen; im Erfolgsfall wird die Zertifizierungsstelle unter Administration > CA-Verwaltung (und Dienstprogramme > Konnektoren, falls vorhanden) als Online angezeigt.
Schritt 4: Anmelden / Verlängern / Widerrufen
- Problem: Registrierung > Zertifikat generieren (oder CSR-Registrierung) → EJBCA CA + Vorlage auswählen → Absenden. CertSecure ruft EJBCA REST auf, um das Zertifikat auszustellen.
- Erneuern / Widerrufen: Die Durchführung erfolgte wie bei anderen CAs aus dem Inventar.
Problemlösung
| Symptom | Wahrscheinliche Ursache | Fixieren |
|---|---|---|
| CA-Typ ausgegraut | Berechtigungs-/Funktionsflag nicht aktiviert | Lizenz für EJBCA bestätigen. |
| 401 / 403 | Clientzertifikat nicht autorisiert oder Zugriffsregel für Endbenutzerprofile | Überprüfen Sie die Administratorrollen und Profilzugriffe von EJBCA. |
| Einschreibung abgelehnt | Subjekt/SAN verstößt gegen die Zertifikatsprofilbeschränkungen. | Vorlage am EJBCA-Profil ausrichten. |
| TLS-Fehler | Die EJBCA-Server-/Client-Zertifikatskette ist nicht vertrauenswürdig. | Vertrauensspeicher auf beiden Seiten reparieren. |