PrimeKey EJBCA Enterprise (KMIP) Integrationsleitfaden

Übersicht

Diese Anleitung verbindet den CBOM Secure Discover_KMIP-Sensor mit einer PrimeKey EJBCA Enterprise-Instanz, die eine KMIP 1.2+-Schnittstelle über TLS auf Port 5696 (schreibgeschützt) bereitstellt:

  • Symmetrische und asymmetrische Schlüssel im KMIP-Schlüsselspeicher
  • Wichtigste Attribute: Algorithmus, Länge, Status, Aktivierungs-/Deaktivierungsdatum, UIDs
  • Verwaltete Objekte: Zertifikate, geheime Daten und undurchsichtige Objekte
  • Lebenszyklus-Metadaten: Erstellungszeitstempel und kryptografische Nutzungsmasken

Hinweis: Dies ist der Pfad zum KMIP-Add-on; Informationen zur Zertifikatserkennung der REST-API von EJBCA finden Sie im separaten EJBCA-Leitfaden.

Voraussetzungen:

  • EJBCA Enterprise 7.4+ mit einer aktiven KMIP-Modullizenz.
  • Superadministrator- oder RA-Administratorzugriff auf die EJBCA-Admin-Weboberfläche.
  • Eine interne Zertifizierungsstelle in EJBCA zur Signierung des Client-Zertifikats (im Folgenden als Internal-TLS-CA bezeichnet).
  • Eingehender TCP-Port 5696 vom Sensor-Host zugelassen; die CA-Kette (PEM) zur Serververifizierung exportiert.
  • OpenSSL oder keytool verfügbar; der Discover_KMIP-Sensor (2.0+) installiert.

Schritt-für-Schritt-Anleitung

Schritt 1: Erstellen eines Endbenutzerprofils und eines Zertifikatsprofils

Fügen Sie in der Admin-Benutzeroberfläche unter RA-Funktionen → Endbenutzerprofile CBOM_KMIP_Client mit CN erforderlich, Standard-CA Internal-TLS-CA und Token = P12-Datei (Passwort erforderlich) hinzu. Erstellen Sie ein Zertifikatsprofil CBOM_KMIP_TLS_Client (Endbenutzertyp, Schlüsselverwendungen Digitale Signatur + Schlüsselverschlüsselung, EKU TLS-Webclient-Authentifizierung, Gültigkeit 365 Tage).

Schritt 2: Clientzertifikat ausstellen

Unter RA-Funktionen → Endbenutzer hinzufügen erstellen Sie den Benutzernamen cbom-kmip-sensor mit dem CN cbom-kmip-sensor unter Verwendung der oben genannten Profile und eines temporären Registrierungspassworts. Registrieren Sie sich über die öffentliche EJBCA-Website (Registrierung mit Benutzernamen), um einen RSA-2048-Schlüssel (oder EC-P-256-Schlüssel) zu generieren, und laden Sie cbom-kmip-sensor.p12 herunter. Überprüfen und stellen Sie die Daten bereit.

openssl pkcs12 -in cbom-kmip-sensor.p12 -nokeys -clcerts \ -passin pass:'Cbom@TmpP12!2025' | openSL

Schritt 3: KMIP-Dienst aktivieren

Unter Systemfunktionen → Dienste bearbeiten Sie den KMIP-Dienst, bestätigen Sie „Aktiv“, legen Sie das Worker-Intervall fest, speichern Sie die Einstellungen und führen Sie den Dienst aus. Überprüfen Sie den Listener:

openssl s_client -connect :5696 \ -cert /etc/cbom/certs/cbom-kmip-sensor.p12 -certform P12 \ -pass pass:'Cbom@TmpP12!2025' \ -CAfile /etc/cbom/certs/internal-tls-ca-chain.pem

Schritt 4: KMIP Leseberechtigungen erteilen

Erstellen Sie unter Systemfunktionen → Rollen und Zugriffsregeln die Rolle CBOM_KMIP_ReadOnly mit den Berechtigungen KMIP/Locate, KMIP/Get und KMIP/GetAttributes und fügen Sie ein Rollenmitglied mit dem Clientzertifikat-DN CN=cbom-kmip-sensor hinzu. Gewähren Sie niemals die Berechtigungen Create, Destroy, Register oder Activate.

Schritt 5: Konfigurieren Sie den CBOM-Sicherheitssensor

Sensoren: - Name: Discover_KMIP aktiviert: true Typ: kmip Zeitplan: "0 2 * * *" Verbindung: Host: ejbca.internal.example.com Port: 5696 TLS: aktiviert: true Client-Zertifikat: /etc/cbom/certs/cbom-kmip-sensor.p12 Client-Zertifikat-Format: pkcs12 Client-Zertifikat-Passwort: "${CBOM_EJBCA_P12_PASSWORD}" CA-Bundle: /etc/cbom/certs/internal-tls-ca-chain.pem Server-Zertifikat verifizieren: true kmip: Protokollversion: "1.2" Operationen: [Locate, Get, "Get Attributes", "Get Attribute List"] Objekttypen: [SymmetricKey, PublicKey, PrivateKey, Certificate, SecretData, OpaqueObject] Ausgabe: Format: cbom-json Label: ejbca-prod-kmip

Schritt 6: Validieren

cbom-sensor run --sensor Discover_KMIP --config /etc/cbom/sensors/ejbca-kmip.yaml --dry-run tail -100 /var/log/cbom/discover_kmip.log | grep -E "ERROR|WARN"

Bestätigen Sie, dass KMIP Locate Objekte zurückgibt und keine ERROR-Zeilen angezeigt werden; überprüfen Sie, ob die ejbca-prod-kmip-Quelle im CBOM-Dashboard angezeigt wird.

Häufige Fehler

TLS-Handshake – Zertifikatsprüfung fehlgeschlagen

Ursache: ca_bundle ist unvollständig (Zwischenergebnis fehlt).

Lösung: Laden Sie die vollständige CA-Kette herunter (CA-Funktionen → CA-Zertifikatskette PEM herunterladen) und ersetzen Sie das Bundle.

KMIP-Operation nicht erlaubt — Zugriff verweigert

Ursache: Der Client-DN ist keiner Rolle zugeordnet, die die Operationen Locate/Get/GetAttributes erlaubt.

Lösung: Erstellen/Überprüfen Sie die Rolle CBOM_KMIP_ReadOnly mit einem Mitglied, das dem CN=cbom-kmip-sensor entspricht.

Verbindung auf 5696 abgelehnt

Ursache: Der KMIP-Dienst läuft nicht oder eine Firewall blockiert Port 5696.

Lösung: Überprüfen Sie den Dienst unter Systemfunktionen → Dienste, führen Sie den Befehl ss -tlnp | grep 5696 aus und öffnen Sie die Firewall für den Sensorhost.

Sicherheitsempfehlungen

  • Speichern Sie das P12-Passwort in einem Geheimnismanager (der Sensor unterstützt vault://-Referenzen).
  • Beschränken Sie den P12 auf das cbom-Service-Konto im Modus 0640.
  • Das Clientzertifikat sollte jährlich erneuert und die Konfiguration aktualisiert werden.
  • Beschränken Sie die KMIP-Rolle auf die Funktionen "Suchen"/"Abrufen"/"Attribute abrufen".
  • Aktivieren Sie die EJBCA KMIP-Audit-Protokollierung für einen manipulationssicheren Abfrageverlauf.

Fazit

Der Discover_KMIP-Sensor authentifiziert sich gegenüber PrimeKey EJBCA über Mutual TLS und listet alle KMIP-verwalteten Objekte schreibgeschützt auf. Dabei wird eine auditierbare und widerrufbare Client-Identität von der internen Zertifizierungsstelle ausgestellt, die CBOM Secure kontinuierlich kryptografische Assets aufspürt.