Guía de integración del conector CA sin agente EJBCA
Esta guía describe cómo agregar EJBCA como conector de CA sin agente en CertSecure Manager. A diferencia de los conectores basados en agentes (que requieren la instalación de un servicio de conector a través de la imagen ISO), la integración sin agente se configura completamente desde la interfaz de usuario de CertSecure mediante la API REST de EJBCA y no requiere la instalación de software en un host independiente. EJBCA aparece como un tipo de CA junto con AWS Private CA, GlobalSign, HashiCorp Vault, Google CAS y Let's Encrypt.
Nota: No se requiere ningún paso de instalación (ISO) ni token de registro. Si EJBCA aparece atenuado o sin configurar en su inquilino, se habilitará una vez que se active el permiso correspondiente.
Requisitos previos
- La interfaz de usuario y el sistema de gestión de CertSecure Manager están completamente operativos.
- Tu cuenta tiene el permiso "Gestionar autoridades de certificación".
- Una instancia de EJBCA accesible con su API REST (y/o EST) habilitada y la CA de destino en línea.
- Credenciales de cliente para EJBCA: un certificado TLS de cliente autorizado (mTLS) o nombre de usuario/contraseña con derechos para inscribirse y revocar en la CA de destino.
- Los nombres de la CA de EJBCA, el perfil de entidad final y el perfil de certificado que se utilizarán.
- Conectividad de red desde el backend de CertSecure a la API de EJBCA (HTTPS predeterminado 443/8443).
Referencia de conexión
| Parámetro | Requisito / Valor |
|---|---|
| Punto final API | Por ejemplo, https://{URL}/ejbca/ejbca-rest-api |
| Tipo de autenticación | Certificado de cliente + clave (mTLS) o Básico |
| Nombre de CA | Objetivo emisor CA en EJBCA |
| Perfil de entidad final | Controla los campos sujetos/SAN y permitidos. |
| Perfil de certificado | Goberna el algoritmo/tamaño clave, validez, EKU |
Pasos de configuración
Paso 1: Recopilar los detalles de conexión de EJBCA
- URL base / Punto final de la API.
- Tipo de autenticación y credenciales (certificado de cliente + clave o básico).
- Nombre de la CA, perfil de entidad final, perfil de certificado, además del algoritmo/tamaño de clave y la validez permitida por el perfil.
Paso 2: Agregue la CA EJBCA en CertSecure.
- Vaya a Administración > Administración de CA → Agregar CA.
- Seleccione el tipo de CA: EJBCA.
- Introduzca: Nombre para mostrar/CA, URL base de la API, Tipo de autenticación + credenciales (cargue el certificado/clave del cliente o introduzca los básicos), Perfil de CA/Entidad final/Perfil de certificado e Intervalo de renovación/sincronización.
- Haga clic en Guardar.
Paso 3: Verificar la conectividad y sincronizar.
- CertSecure valida el punto final y las credenciales; si la validación es exitosa, la CA aparece como En línea en Administración > Administración de CA (y en Utilidades > Conectores, si están disponibles).
Paso 4: Inscribirse / Renovar / Revocar
- Problema: Inscripción > Generar certificado (o inscripción CSR) → seleccione la CA EJBCA + plantilla → Enviar. CertSecure llama a la API REST de EJBCA para emitirlo.
- Renovar / Revocar: realizado desde el inventario como con otras CA.
Localización de averías
| Síntoma | Causa probable | Solución |
|---|---|---|
| Tipo CA atenuado | El derecho/indicador de función no está habilitado. | Confirme la licencia para EJBCA. |
| 401 / 403 | Certificado de cliente no autorizado o regla de acceso al perfil de entidad final | Verifique los roles de administrador de EJBCA y el acceso al perfil. |
| Inscripción rechazada | El sujeto/SAN infringe las restricciones del perfil de certificado. | Alinea la plantilla con el perfil EJBCA. |
| Error TLS | La cadena de certificados del servidor/cliente EJBCA no es de confianza. | Reparar los almacenes de confianza en ambos extremos. |