Wat ooit een luxe was, wordt langzaam een noodzaak. Begin jaren 2000 werden digitale certificaten als een luxe beschouwd. Toch zijn ze de laatste tijd, met de toenemende regelgeving en cyberdreigingen, steeds meer in trek. digitale certificaten zijn een noodzaak geworden om identiteit te verlenen aan gebruikers, computers, bronnen en meer. Omdat elke entiteit van een organisatie een certificaat nodig heeft om toegang te krijgen, te functioneren en te functioneren, wordt het beheren van zo'n enorme hoeveelheid certificaten een van de grootste uitdagingen.
In deze casestudy bespreken we zo'n organisatie, een Amerikaanse retailgigant met winkels verspreid over het hele land. Als disruptieve speler in de sector moest de organisatie haar bedrijfsvoering evalueren en aanpassen om de omvang van de organisatie beheersbaar te maken.
Voor kleinere organisaties kan dit handmatig worden gedaan, met een certificaatvereiste van minder dan 1000. Voor grotere organisaties met hun eigen beleid en procedures is het echter een uitdaging om ervoor te zorgen dat alle certificaten voldoen aan de regelgeving en tegelijkertijd hun interne beleid naleven, terwijl alle certificaten actief zijn en er geen downtime of uitval door wanbeheer optreedt. Dit probleem neemt alleen maar toe naarmate de organisatie groeit, totdat het onbeheersbaar wordt.
Om deze reden zijn oplossingen voor het beheer van de levenscyclus van certificaten zoals CertSecure Manager organisaties een unieke, op maat gemaakte oplossing bieden die aansluit bij hun behoeften en vereisten.
De uitdagingen
Als een van de grote spelers in de retailsector had de organisatie te maken met veel uitdagingen waar andere organisaties mee te maken kregen, maar ook met een aantal unieke uitdagingen. Enkele veelvoorkomende uitdagingen zijn:
-
Beheer van uitgifte
Om de vraag naar certificaten van een grote organisatie te beheren, hebben deze organisaties veel Certificeringsinstanties om certificaten uit te geven en deze op tijd te verstrekken. Het beheren van verschillende certificeringsinstanties met hun procedures en het bijhouden van verschillende handboeken met verschillende trainingen voor medewerkers worden echter langzaam maar zeker een ongemak.
Een typische organisatie van deze omvang heeft meer dan 20 domeinen (of forests) met ten minste twee certificeringsinstanties (CA's) in belangrijke forests, één cloud-CA en één openbare CA. Dit komt neer op 5 of meer CA's.
-
Verouderde Microsoft PKI-processen
Microsoft PKI blijft een van de meestgebruikte on-premises private PKI's. Echter, met weinig tot geen vooruitgang in certificaatuitgifteprocessen met behulp van webregistratie, moeten gebruikers die certificaten nodig hebben, andere processen doorlopen die de hulp van ander personeel vereisen. Bovendien is het voor DevOps, zonder REST API-ondersteuning, een uitdaging om ervoor te zorgen dat certificaten op tijd worden verkregen.
-
Alerts
Omdat certificaten regelmatig verlopen, moeten beheerders alert en waakzaam blijven om ervoor te zorgen dat er geen verlopen certificaten op hun applicaties/servers blijven. Zonder goede waarschuwingsmechanismen vergeten beheerders soms het vernieuwen van kritieke certificaten, wat vaak tot storingen kan leiden.
Omdat andere organisaties ook met bovenstaande problemen kampen, had onze klant een aantal unieke verzoeken die we wilden aanpakken. Deze verzoeken komen voort uit de uitdagingen waarmee deze organisatie te maken heeft en die een oplossing vereisen die aansluit bij hun behoeften. Het gaat om de volgende verzoeken:
-
domein Validation
De klant had een groot aantal domeinen (meer dan 50) binnen zijn netwerk en wilde, met de enorme hoeveelheid certificaataanvragen die binnenkwamen, een manier om domeinen die niet expliciet op de witte lijst stonden, eruit te filteren. De organisatie wilde dat bepaalde domeinen geautoriseerd zouden worden en dat gebruikers die certificaten aanvragen voor domeinen die niet op de witte lijst staan, deze automatisch zouden moeten weigeren.
Dit helpt menselijke fouten te verminderen, die kunnen leiden tot uitval door onjuiste domeinnamen. Het verbetert ook de beveiliging, omdat gebruikers geen certificaten voor andere domeinen kunnen aanvragen, wat hen helpt bij het oplossen van problemen met imitatie binnen de organisatie.
-
Wildcard-certificaten
Net als de vorige keer wilde de organisatie ook alle verzoeken afwijzen.
-
CA-beperkingen
De klant wilde ook dat sommige CA's beperkt en ontoegankelijk zouden zijn voor iedereen. Dit betreft voornamelijk openbare CA's, aangezien certificaten die door deze CA's worden uitgegeven, kosten met zich meebrengen. Deze beperkte CA's zouden alleen toegankelijk moeten zijn voor een beperkt aantal mensen binnen de organisatie.
-
Afdelingscompartimentering
Omdat er binnen de organisatie meerdere afdelingen zijn, wilden de belanghebbenden dat we gebruikers in verschillende afdelingen zouden onderverdelen, zodat het certificaatbeheer eenvoudiger zou worden.
Dit zorgt er ook voor dat bepaalde afdelingen toegang hebben tot bepaalde certificeringsinstanties. De klant wilde bijvoorbeeld niet dat het ontwikkelteam toegang had tot certificeringsinstanties die door het productieteam werden gebruikt. Dit kan leiden tot vermenging van certificaten, wat de identificatie van de gebruikte certificaten kan verstoren.
-
DevOPS
De klant ondervond ook uitdagingen met betrekking tot het DevOPS-team, dat REST API-toegang nodig had om certificaten aan te vragen en te verkrijgen.
Deze uitdagingen en wensenlijstjes vormden de drijfveer achter de inspanningen van de organisatie om de juiste oplossing voor haar behoeften te vinden. De uitdagingen creëerden aanzienlijke problemen in haar operationele capaciteiten en belemmerden haar groeivermogen.
Het resultaat
Toen de klant ons met deze uitdagingen benaderde, moesten we veel tijd besteden aan het beoordelen en begrijpen van hun unieke standpunt. Elke organisatie heeft zijn eigen processen en procedures, en we wilden ervoor zorgen dat we die begrepen voordat we in hun behoeften konden voorzien. CertSecure Manager Naast het oplossen van al hun problemen, hebben we ook een aantal andere gebieden gevonden waar we de organisatie kunnen helpen verbeteren. De oplossingen waar we ons op hebben gericht, waren de volgende:
-
Altijd bereikbaar
Omdat we winkels en kantoren over het hele land hebben, wilden we alle bronnen met elkaar verbinden en ervoor zorgen dat thuiswerkers ook toegang hebben tot CertSecure.
Dit bood de organisatie twee opties: cloud en SaaS. Omdat de klant de controle wilde behouden met minimale latentie, werd gekozen voor een cloudimplementatie om hun volledige infrastructuur te verbinden en toegang te geven aan gebruikers buiten het netwerk.
-
Pooling van CA's
Met meerdere certificeringsinstanties bieden we de klant één centraal overzicht en controle over de certificaten. Alle certificeringsinstanties zijn verbonden en gesynchroniseerd met de omgeving via CA Connectors.
Hierdoor kunnen klanten certificaten uitgeven, intrekken en verlengen via één portal, wat de trainingstijd verkort en de processen en procedures die de organisatie moet volgen, comprimeert. Dit maakt ook nieuwere protocollen zoals REST API's mogelijk. ACME, EST, en meer voor de DevOPS en IoT team.
-
RBAC
Met een grote gebruikersbasis wilde de organisatie de geregistreerde gebruikers minimale controle bieden. Het principe van minimale privileges wordt toegepast met verschillende rollen en gedetailleerde toegangscontrole, zodat gebruikers alleen de door de organisatie bepaalde rechten krijgen.
-
Integratie en waarschuwingen
Organisaties kunnen hun CertSecure Manager nu verbinden met Teams, ServiceNow en e-mail om ervoor te zorgen dat ze regelmatig meldingen ontvangen. Deze meldingen bevatten informatie over certificaten die de komende week verlopen en bieden nuttige inzichten over hun organisatie. CertSecure Manager biedt ook rapporten die kunnen worden gebruikt voor data-analyse om hun infrastructuur beter te begrijpen en beheren.
-
Beleidsmodule
CertSecure Manager heeft een unieke beleidsmodule die CSR-hergebruik en wildcardcertificaten kan beperken. Dit beperkt en wijst certificaataanvragen die het beleid schenden automatisch af. Dit omvat ook domeinvalidatie, waarbij organisaties domeinen op de witte lijst moeten plaatsen. Certificaataanvragen voor domeinen die niet op de witte lijst staan, worden automatisch afgewezen.
-
Workflow
Organisaties kunnen CA's en sjablonen voor een specifieke CA beperken. Dit beperkt alle certificaataanvragen en vereist expliciete goedkeuring vóór uitgifte. Alleen gebruikers met expliciete goedkeuringsrechten kunnen deze aanvragen goedkeuren.
-
AFDELINGEN
CertSecure Manager maakt het mogelijk om verschillende afdelingen te beheren en de gebruikersbasis dienovereenkomstig te scheiden. Elke afdeling heeft een eigen PKIAdmin, die alle resources en gebruikers van die afdeling kan beheren. Er zijn ook wereldwijde PKIAdmins die toegang hebben tot alle afdelingen en alle resources binnen de organisatie kunnen beheren en beheren.
-
Organisatie details
Omdat menselijke fouten nog steeds veel voorkwamen, wilde de organisatie correcte certificaattags. De organisatie kan opties bieden voor reeds bestaande organisatiegegevens zoals plaats, staat, landcode, afdeling, enzovoort. Gebruikers kunnen geen waarden gebruiken die de beheerders niet verstrekken.
-
Automatisering
CertSecure Manager biedt de mogelijkheid tot Renewal Agents, die kunnen worden geconfigureerd met servers zoals IIS, Apache en Tomcat, load balancers zoals F5 of aangepaste applicaties. Deze agents zorgen ervoor dat de gebruikte certificaten actief zijn en automatisch worden verlengd voordat ze verlopen, waardoor organisaties hun processen kunnen beheren zonder menselijke tussenkomst.
Deze functies hielpen de organisatie niet alleen met haar behoeften, maar verbeterden ook haar processen. Bij het indienen van een CSRkunnen gebruikers de eigenschappen ervan bekijken in het webportaal zelf, zonder dat ze afhankelijk zijn van OpenSSL of websites van derden.
Conclusie
Concluderend CertSecure Manager's uitgebreide functies, op maat gemaakte oplossingen en de focus op automatisering en beveiliging zijn aanzienlijk verbeterd Beheer van de levenscyclus van certificaten voor organisaties in de detailhandel, die belangrijke uitdagingen aanpakt en een schaalbaar, efficiënt en veilig platform biedt voor het beheer van digitale certificaten.