Hoe CertSecure Manager Orchestrator voor F5 het beheer van de certificaatlevenscyclus op F5 BIG-IP automatiseert

CertSecure Manager Orchestrator voor F5 is de automatiseringsintegratie van Encryption Consulting die CertSecure Manager verbindt met F5 BIG-IP. Via TMSH-opdrachten kunnen SSL/TLS-certificaten rechtstreeks aan het juiste SSL-profiel worden gekoppeld, geïmplementeerd en geregistreerd zonder handmatige uploads. Dit elimineert het risico op verlopen certificaten en incompatibiliteit dat handmatig F5-certificaatbeheer met zich meebrengt. Wanneer een certificaat verloopt, krijg je geen melding dat je applicatie offline gaat.

Voor organisaties die F5 BIG-IP gebruiken binnen het F5 Application Delivery and Security Platform (ADSP), is het beheer van SSL/TLS-certificaten lange tijd een van de meest arbeidsintensieve en risicovolle taken op de checklist van het beveiligingsteam geweest. Daar komt nu verandering in. Encryption Consulting is een partnerschap aangegaan met F5 en als partner in het F5 ADSP Partner Program hebben we een integratie ontwikkeld die zorgt voor een volledig geautomatiseerd beheer van de certificaatlevenscyclus in uw F5 BIG-IP- omgeving.

Het F5 Application Delivery and Security Platform (ADSP), ondersteund door toonaangevende expertise, is ontworpen om elke app en API te leveren en te beveiligen. Onze Certificate Lifecycle Management (CLM)-oplossing, CertSecure Manager Orchestrator for F5 , integreert met dit platform om de volledige certificaatlevenscyclus te beheren, van registratie tot koppeling aan F5 SSL-profielen, zonder menselijke tussenkomst. Het is belangrijk om te benadrukken dat dit een integratie is tussen twee oplossingen, geen functie die automatisch in het F5-platform is ingebouwd of een gecombineerd product.

Ga direct naar: Samenvatting | Snelle checklist | Matrix van eigenaar en actiepunten | Implementatiehandleiding | Tabel met vereisten en actiepunten | Wat te doen na de implementatie | Veelgestelde vragen

Samenvatting

CertSecure Manager Orchestrator voor F5 is een speciale automatiseringslaag die CertSecure Manager verbindt met F5 BIG-IP via F5 Advanced Shell (TMSH)-opdrachten. Hierdoor worden certificaten geregistreerd, naar BIG-IP gepusht en gekoppeld aan het juiste client-SSL-profiel zonder handmatige upload of profielbewerking. Uit het Trust Pulse Survey van DigiCert bleek dat 45% van de organisaties het afgelopen jaar te maken heeft gehad met downtime als gevolg van certificaatproblemen, en dat 37.5% een storing toeschreef aan een verlopen certificaat. Dit is precies het soort storing dat optreedt bij handmatige F5-certificaatverwerking op grote schaal. Het CA/Browser Forum heeft op 11 april 2025 een referendum (SC-081v3) aangenomen waarin de maximale geldigheidsduur van openbare TLS-certificaten wordt teruggebracht tot 47 dagen in maart 2029. Dit is een achtvoudige verhoging van de vernieuwingsfrequentie, waardoor handmatige TMSH-gebaseerde certificaatuploads onhoudbaar worden voor een F5-omgeving van enige betekenis. Deze handleiding begeleidt PKI-, beveiligings-, platform- en compliance-teams door de vereisten, de implementatiestappen, de operationele workflow voor en na de implementatie, richtlijnen voor terugdraaien, veelvoorkomende fouten en de meetgegevens die moeten worden bijgehouden zodra de integratie live is.

Snelle checklist voor het automatiseren van het F5-certificaat

Gebruik deze checklist om te bepalen hoe kwetsbaar uw F5-omgeving is voor het risico van handmatig ondertekende certificaten voordat u de integratie implementeert.

• Bevestig dat u alle BIG-IP virtuele servers en client-SSL-profielen die momenteel in productie zijn, kunt weergeven.
• Controleer of de F5 Advanced Shell (TMSH)-toegang en de verbinding via poort 22 beschikbaar zijn voor agentcommunicatie.
• Controleer of u weet welke certificeringsinstantie (CA), Let's Encrypt, een openbare CA of een privé-CA, de certificaten uitgeeft voor elke applicatie die via BIG-IP wordt beheerd.
• Controleer of uw team een ​​terugdraaiplan heeft voor een mislukte geautomatiseerde rotatie voordat u 'Vernieuwen en toepassen' in de productieomgeving inschakelt.
• Controleer of uw team heeft gemodelleerd wat het 47-daagse TLS-certificaatvernieuwingsschema doet met het vernieuwingsvolume binnen uw BIG-IP-omgeving.

Eigenaar- en actiematrix per team

De automatisering van F5-certificaten mislukt het vaakst wanneer de verantwoordelijkheid voor inschrijving, implementatie en audit onduidelijk is. Hieronder wordt uitgelegd hoe de teams voor PKI, beveiliging, platformbeheer en compliance de verantwoordelijkheid zouden moeten verdelen.

Team	Primaire verantwoordelijkheid	Belangrijkste actie
PKI-team	Eigen selectie- en inschrijvingsbeleid voor Californië	Bepaal of Let's Encrypt, een andere openbare CA of een particuliere CA certificaten uitgeeft voor elke applicatie die via BIG-IP wordt aangestuurd.
Beveiligingsteam	Eigen SSL-profiel en endpointbeveiliging	Controleer de configuratie van het client-SSL-profiel en bevestig dat de koppelingen tussen certificaat en sleutelketen overeenkomen met het beoogde beleid.
Platform- en DevOps-team	Eigen agentimplementatie en TMSH-toegang	Verleen toegang tot de Advanced Shell, open poort 22 voor agentcommunicatie en registreer de CertSecure Manager-agent.
Nalevingsteam	Eigen controlebewijs voor certificaatrotaties	Gebruik het auditdashboard van CertSecure Manager als bewijsmateriaal voor FIPS-, Common Criteria- en FedRAMP-audits.

Het probleem dat we oplossen

Beveiligingsteams die F5-omgevingen beheren, doorlopen een bekend proces: ze houden de vervaldatums van certificaten bij voor tientallen of honderden domeinen, genereren nieuwe certificaten, uploaden deze handmatig, koppelen ze aan de juiste SSL- profielen en hopen dat er niets over het hoofd is gezien. Eén foutje betekent een storing. Eén verkeerde configuratie betekent een mismatch.

Voeg daar nu de verschuiving in de sector naar TLS-certificaten met een geldigheidsduur van 47 dagen aan toe . Wat voorheen een kwartaaltaak was, wordt een bijna continue operationele last. Handmatig beheer met deze frequentie is niet alleen inefficiënt, maar ook onhoudbaar.

De gegevens ondersteunen dit. Uit DigiCert's Trust Pulse Survey, gepubliceerd op 2 juli 2025, bleek dat 45% van de organisaties het afgelopen jaar te maken heeft gehad met downtime als gevolg van certificaatproblemen, en dat 37.5% een storing specifiek kon herleiden tot een verlopen certificaat. Dit is precies dezelfde oorzaak als een gemiste handmatige upload of een onjuist SSL-profiel op een F5 virtuele server. Bron: digicert.com/news/digicert-survey-finds-manual-processes-expose-organizations.

Het voorstel SC-081v3 van het CA/Browser Forum, goedgekeurd op 11 april 2025, verkort de maximale geldigheidsduur van openbare TLS-certificaten tot 200 dagen in maart 2026, 100 dagen in maart 2027 en 47 dagen in maart 2029. Dit betekent een verachtvoudige verhoging van de vernieuwingsfrequentie. Bron: sectigo.com/resource-library/sectigo-cab-reduce-ssl-tls-certificates-lifespan-47-days . Het rapport '2024 Hourly Cost of Downtime' van ITIC toonde aan dat de gemiddelde kosten van één uur downtime nu meer dan $ 300,000 bedragen voor meer dan 90% van de middelgrote en grote bedrijven. Dit zijn de werkelijke kosten van een gemiste F5-certificaatvernieuwing. Bron: itic-corp.com/itic-2024-hourly-cost-of-downtime-report.

Wat de CertSecure Manager Orchestrator voor F5-integratie doet

Dit is geen API-wrapper of monitoringplugin. CertSecure Manager Orchestrator voor F5 biedt een speciale automatiseringslaag, een CertSecure Manager- vernieuwingsagent voor F5 BIG-IP-omgevingen, die CertSecure Manager verbindt met uw BIG-IP- instanties en elke rotatie van begin tot eind orkestreert.

Dit is wat het van begin tot eind afhandelt:

Directe F5 BIG-IP-connectiviteit

De vernieuwingsagent genereert geen certificaat en plaatst dit niet in een wachtrij. In plaats daarvan gebruikt de agent F5 Advanced Shell (TMSH)-opdrachten om het certificaat en de privésleutel rechtstreeks naar uw BIG-IP-instantie te verzenden en koppelt deze vervolgens aan het juiste SSL-profiel. Hierdoor zijn handmatige uploads of profielaanpassingen niet meer nodig.

Naadloze Let's Encrypt-registratie

Gebruik Let's Encrypt als uw certificeringsinstantie (CA) voor applicaties die achter F5 draaien. De integratie verzorgt de volledige ACME-challenge-response-flow, certificaatuitgifte en -implementatie, gratis, snel en volledig geautomatiseerd. CertSecure Manager ondersteunt bovendien een breed scala aan openbare en private CA's, zodat u certificaatautomatisering kunt orkestreren vanuit de autoriteit die uw organisatie al vertrouwt.

Zero Touch-implementatie

Met één enkele configuratie-instelling "Vernieuwen en toepassen" wordt de volledige certificaatrotatie geactiveerd als een volledig geautomatiseerd achtergrondproces, zonder tickets of handmatige stappen.

Intelligente profieltoewijzing voor meerdere domeinen

Beheert u 50 domeinen? 500? CertSecure koppelt elk certificaat automatisch aan het juiste SSL-profiel van de virtuele F5-server, waardoor handmatige koppeling die tot mismatches en storingen leidt, overbodig wordt. Dit is onderdeel van een bredere discipline voor certificaatdetectie die een grote F5-omgeving onder controle houdt.

Realtime auditdashboard

Elke certificaatrotatie, inclusief serienummer, bindingsstatus en tijdstempel, wordt vastgelegd in het CertSecure-dashboard. Geen spreadsheets. Geen giswerk. Auditklare gegevens op aanvraag.

Waarom dit partnerschap nu belangrijk is

De certificeringscyclus van 47 dagen is geen vergezocht voorstel. Het is de richting waarin de branche zich ontwikkelt, en beveiligingsteams hebben een infrastructuur nodig die dit tempo kan bijhouden.

Organisaties die certificaten in hun F5-infrastructuur handmatig blijven beheren, staan ​​voor een onmogelijke keuze: ofwel besteden ze aanzienlijke teamcapaciteit aan een repetitieve operationele taak, ofwel accepteren ze het verhoogde risico dat verlopen certificaten leiden tot ongeplande downtime. De integratie van Encryption Consulting met F5 biedt bedrijven de cryptografische flexibiliteit om snelle certificaatvernieuwingen te orkestreren zonder extra personeel of risico's.

Implementatiehandleiding: CertSecure Manager Orchestrator implementeren voor F5

Het in gebruik nemen van de F5-integratie is zo eenvoudig mogelijk ontworpen. De onderstaande stappen beschrijven de vereisten, de implementatie, de verificatie en wat u moet doen als een rotatie niet volgens plan verloopt.

Voorwaarden

• F5 Advanced Shell (TMSH)-toegang tot de doel-BIG-IP-instantie(s).
• Poort 22 is open tussen de CertSecure Manager-agent en BIG-IP voor agentcommunicatie.
• Een CertSecure Manager-tenant en een registratietoken voor de F5-agent.
• Een inventarisatie van de virtuele servers en client-SSL-profielen die onder geautomatiseerd beheer moeten worden gebracht.
• Er moet nog worden besloten welke certificeringsinstantie (CA), Let's Encrypt, een andere openbare CA of een particuliere CA, certificaten zal uitgeven voor elke applicatie achter BIG-IP.

Stap 1: De CertSecure Manager Agent implementeren en registreren

Installeer de CertSecure Manager-agent voor F5 op een host met TMSH-toegang tot de doel-BIG-IP-instantie en voltooi vervolgens de beveiligde handshake met uw CertSecure Manager-dashboard met behulp van het registratietoken dat voor die tenant is uitgegeven. Zodra de agent is geregistreerd, verschijnt deze in het dashboard als een verbonden F5-eindpunt.

Stap 2: Configureer het beleid 'Vernieuwen en toepassen'.

In het CertSecure Manager-dashboard koppelt u elke virtuele server aan het bijbehorende client-SSL-profiel en stelt u het vernieuwingsbeleid in op 'Vernieuwen en toepassen'. De taak van de agent tijdens de rotatie is in principe gelijk aan de TMSH-bewerkingen die een beheerder anders handmatig zou uitvoeren, bijvoorbeeld:

tmsh install sys crypto cert <cert_name> from-local-file <path-to-cert>
tmsh install sys crypto key <key_name> from-local-file <path-to-key>
tmsh modify ltm profile client-ssl <profile_name> cert-key-chain replace { <chain_name> { cert <cert_name> key <key_name> } }
tmsh save sys config

De integratie voert deze reeks automatisch uit voor elk gekoppeld profiel, waardoor de handmatige stap van uploaden en profielbewerking volledig overbodig wordt.

Stap 3: Controleer de eerste geautomatiseerde rotatie

Voordat u de functie "Vernieuwen en toepassen" voor al uw systemen gebruikt, start u een handmatige testrotatie op één virtuele server die niet in productie is. Controleer in het auditdashboard van CertSecure Manager of het serienummer, de bindingsstatus en het tijdstempel van het nieuwe certificaat zijn geregistreerd en controleer aan de BIG-IP-kant of het client-SSL-profiel nu de nieuwe certificaat-sleutelketen gebruikt.

Voor en na: De verandering in de operationele workflow

Stap voor	Voor (Handleiding)	Na (CertSecure Manager Orchestrator voor F5)
Vervaldatum van het nummer	Spreadsheet- of agendaherinneringen verspreid over tientallen of honderden domeinen.	Wordt continu bijgehouden in het CertSecure Manager-dashboard
Inschrijving	Handmatige CSR-generatie en CA-inzending per certificaat	Geautomatiseerde inschrijving, inclusief de volledige ACME-workflow voor Let's Encrypt.
Implementatie op BIG-IP	Handmatig certificaat en sleutel uploaden via de F5 UI of TMSH	De agent verstuurt het certificaat en de sleutel automatisch via TMSH.
Profielbinding	Handmatige toewijzing van certificaat aan client-SSL-profiel	Automatische profieltoewijzing voor meerdere domeinen
Controlebewijs	Handmatig achteraf in elkaar gezet, indien al gedaan.	Het serienummer, de bindingsstatus en het tijdstempel worden per rotatie geregistreerd.

Richtlijnen voor terugdraaien

Als een geautomatiseerde rotatie een onverwachte certificaat-sleutelketen aan een profiel koppelt, zet u dat client-SSL-profiel via TMSH of de F5-gebruikersinterface terug naar de vorige keten en pauzeert u vervolgens 'Vernieuwen en toepassen' voor dat profiel in het CertSecure Manager-dashboard totdat de oorzaak is vastgesteld. Omdat elke rotatie wordt vastgelegd met een tijdstempel en serienummer, is het vorige, bekende, correcte certificaat altijd te identificeren in het auditlogboek.

Veelvoorkomende fouten en probleemoplossing

• Agent kan BIG-IP niet bereiken: Controleer of poort 22 open is tussen de agenthost en de BIG-IP-beheerinterface en of het gebruikte TMSH-account voldoende rechten heeft.
• Certificaat afgegeven maar niet gebonden: Controleer of het client-SSL-profiel van de virtuele server correct is toegewezen in het CertSecure Manager-dashboard; een niet-toegewezen profiel ontvangt de nieuwe certificaatketen niet.
• ACME-uitdaging mislukt met Let's Encrypt: Controleer of het challenge-pad van het domein bereikbaar is vanaf het openbare internet en niet wordt geblokkeerd door een WAF-regel of firewallbeleid op de BIG-IP.
• Rotatie is gelukt, maar er ontbreekt een auditboeking: Controleer of het registratietoken van de agent niet is verlopen en of de agent nog steeds als verbonden wordt weergegeven in het dashboard.

Successtatistieken om bij te houden

• Het aantal BIG-IP virtuele servers en client-SSL-profielen onder geautomatiseerd beheer ten opzichte van uw totale inventaris.
• Gemiddelde tijd tussen het moment dat de verlenging wordt geactiveerd en het moment dat de profielkoppeling is bevestigd.
• Handmatig geopende certificaatgerelateerde tickets per kwartaal, vóór en na de uitrol.
• Storingen of bijna-storingen als gevolg van certificaatproblemen per kwartaal, bijgehouden ten opzichte van uw basislijn van vóór de automatisering.

Tabel met voorwaarden voor actie

Gebruik deze tabel om te controleren of elke vereiste een bijbehorende actie en eigenaar heeft voordat u geautomatiseerde rotatie in de productieomgeving inschakelt.

Eerste vereiste	Vereiste actie	Eigenaar	Verificatie
TMSH-toegang tot BIG-IP	Geef de agent toegang tot de Advanced Shell-referenties.	Platform- en DevOps-team	De agent wordt als verbonden weergegeven in het CertSecure Manager-dashboard.
Aansluiting via poort 22	Open poort 22 tussen de agenthost en BIG-IP.	Platform- en DevOps-team	Succesvolle testrotatie op een niet-productieprofiel.
beslissing van het Hof van Beroep	Kies per toepassing Let's Encrypt, een openbare CA of een privé-CA.	PKI-team	Inschrijvingsbeleid geconfigureerd per virtuele server.
Profielmapping	Koppel elke virtuele server aan het bijbehorende client-SSL-profiel.	Beveiligingsteam	Er zijn geen niet-toegewezen profielen meer in het dashboard.
Auditvereisten	Controleer of de dashboardlogboeken voldoen aan uw norm voor bewijsmateriaal.	Nalevingsteam	Voorbeeld van een auditexport is beoordeeld en geaccepteerd.

Wat te doen Volgende

• PKI-teams: Controleer de certificeringsinstantie voor elke applicatie die via BIG-IP wordt beheerd, of dat nu Let's Encrypt, een andere openbare CA of een interne, particuliere CA is, voordat u de integratie in gebruik neemt.
• Beveiligingsteams: Controleer de toewijzingen van client-SSL-profielen op juistheid en bevestig dat de terugdraaiinstructies zijn gedocumenteerd voordat u 'Vernieuwen en toepassen' in de productieomgeving inschakelt.
• Platform- en DevOps-teams: Zorg voor toegang tot TMSH en verbinding via poort 22, en voer vervolgens eerst een testrotatie uit op een virtuele server die niet in productie is.
• Nalevingsteams: Controleer of de rotatiegegevens van het CertSecure Manager-auditdashboard voldoen aan uw bewijsvereisten voor FIPS-, Common Criteria- of FedRAMP-audits.

Hoe encryptieconsultancy kan helpen

Het automatiseren van het certificaatlevenscyclusbeheer op F5 BIG-IP is een onderdeel van een breder programma voor cryptografische flexibiliteit. Ons CertSecure Manager- platform, hetzelfde platform dat achter deze F5-integratie schuilgaat, bouwt voort op het werk dat nodig is voor certificaatdetectie en -inventarisatie om een ​​groeiend aantal kortstondige certificaten te beveiligen. Ons PQC Center of Excellence en de PQC- gereedheidsbeoordelingen breiden diezelfde detectiediscipline uit naar post-quantummigratie, en CBOM Secure zet dit om in een complete cryptografische materiaallijst. Raadpleeg onze handleiding over het omzetten van een CBOM-inventaris in bruikbare informatie om te zien hoe certificaatautomatisering, PQC-gereedheid en CBOM met elkaar verbonden zijn.

Bent u klaar om het certificaatrisico in uw F5-omgeving te elimineren?

Of u zich nu voorbereidt op de 47-daagse transitie of gewoon vandaag al het operationele risico wilt verlagen, ons team staat klaar om u een live demonstratie van de CertSecure Manager Orchestrator voor F5 te geven.

Neem contact met ons op via [email protected] om een ​​persoonlijke F5-integratiedemonstratie in te plannen.

Conclusie

Handmatige certificaatverwerking op F5 BIG-IP was al riskant bij een kwartaalvernieuwing. Nu de industrie overstapt op TLS-certificaten met een geldigheidsduur van 47 dagen, wordt datzelfde handmatige proces op grote schaal operationeel onmogelijk. CertSecure Manager Orchestrator voor F5 dicht die kloof met een speciale, op TMSH gebaseerde automatiseringslaag die certificaten registreert, implementeert en koppelt aan het juiste SSL-profiel zonder menselijke tussenkomst. Tegelijkertijd biedt het PKI-, beveiligings-, platform- en compliance-teams één centraal auditdashboard om elke vernieuwing te controleren.

Of u nu uw eerste BIG-IP virtuele server in gebruik neemt of een grote omgeving met meerdere domeinen migreert, door de bovenstaande vereisten, implementatiestappen en terugdraai-instructies te volgen, kunt u een volledig geautomatiseerd verlengingsproces zonder certificaatgerelateerde problemen realiseren.

Veelgestelde Vragen / FAQ

Wat is de belangrijkste conclusie uit het artikel "Hoe CertSecure Manager Orchestrator voor F5 het beheer van de certificaatlevenscyclus automatiseert op F5 BIG-IP"?

De belangrijkste conclusie is dat CertSecure Manager Orchestrator voor F5 het handmatige upload- en koppelingsproces voor certificaatbeheer op F5 BIG-IP overbodig maakt door middel van TMSH-gebaseerde automatisering. Hiermee worden certificaten rechtstreeks aan het juiste client-SSL-profiel gekoppeld, geïmplementeerd en geregistreerd, waardoor certificaatvernieuwingscycli van 47 dagen operationeel haalbaar worden.

Waarom is dit belangrijk voor het beheer van de levenscyclus van bedrijfscertificaten?

Uit de Trust Pulse Survey van DigiCert bleek dat 45% van de organisaties het afgelopen jaar te maken heeft gehad met uitval als gevolg van certificaatproblemen, en dat 37.5% de oorzaak hiervan kon herleiden tot een verlopen certificaat. Een gemiste handmatige upload of een onjuist SSL-profiel op een F5 virtuele server leidt precies tot dit probleem. Daarom is gedisciplineerd, geautomatiseerd certificaatlevenscyclusbeheer net zo belangrijk op F5 als elders in de PKI-omgeving.

Welke teams zijn verantwoordelijk voor de uitvoering van deze richtlijnen?

De PKI-teams zijn verantwoordelijk voor de selectie en het registratiebeleid van de CA voor elke applicatie achter BIG-IP. De beveiligingsteams zijn verantwoordelijk voor het beveiligen van client-SSL-profielen en het controleren van de koppelingen tussen certificaten en sleutelketens. De platform- en DevOps-teams zijn verantwoordelijk voor de TMSH-toegang, de implementatie van agents en de connectiviteit via poort 22. De compliance-teams zijn verantwoordelijk voor het gebruik van het CertSecure Manager-auditdashboard als bewijsmateriaal voor FIPS-, Common Criteria- en FedRAMP-audits.

Welke risico's nemen toe als dit onderwerp handmatig wordt behandeld?

Handmatig beheer van F5-certificaten brengt risico's met zich mee, zoals het missen van verlopen certificaten voor tientallen of honderden domeinen, inconsistenties tussen certificaten en profielen als gevolg van handmatige toewijzingsfouten, en een administratieve last die sneller toeneemt dan het personeelsbestand naarmate de geldigheidsperioden korter worden, richting 47 dagen. Dit alles kan ertoe leiden dat applicaties zonder waarschuwing offline gaan.

Hoe vermindert automatisering het risico op certificaatuitval?

Door de automatisering van inschrijvingen, TMSH-gebaseerde implementatie en profieltoewijzing worden de handmatige stappen die leiden tot gemiste verlengingen en inconsistenties geëlimineerd. Een terugkerende handmatige taak op elke virtuele server wordt omgezet in één enkel achtergrondproces genaamd "Vernieuwen en Toepassen", dat wordt geregistreerd en traceerbaar is.

Welke statistieken moeten teams bijhouden na de implementatie?

Houd bij hoeveel virtuele servers en client-SSL-profielen onder geautomatiseerd beheer u beheert ten opzichte van uw totale inventaris, de gemiddelde tijd tussen het activeren van de verlenging en de bevestigde profielkoppeling, het aantal handmatige certificaatgerelateerde tickets per kwartaal vóór en na de uitrol, en het aantal certificaatgerelateerde storingen of bijna-storingen per kwartaal ten opzichte van uw basislijn van vóór de automatisering.

Hoe hangt dit samen met de 47-daagse TLS-certificaatgereedheid?

Het voorstel SC-081v3 van het CA/Browser Forum, goedgekeurd op 11 april 2025, verlaagt de maximale geldigheidsduur van openbare TLS-certificaten naar 200 dagen in maart 2026, 100 dagen in maart 2027 en 47 dagen in maart 2029. Dit betekent een verachtvoudige verhoging van de vernieuwingsfrequentie. Handmatige TMSH-gebaseerde certificaatuploads kunnen dit volume niet bijhouden binnen een aanzienlijk F5-netwerk, en dat is precies de lacune die deze integratie beoogt te dichten.

Hoe moet dit worden aangepakt in multi-cloud- of hybride PKI-omgevingen?

Pas dezelfde TMSH-gebaseerde implementatie-, profieltoewijzings- en auditdiscipline toe op elke BIG-IP-instantie, ongeacht of deze on-premises, in een hybride datacenter of in een multi-cloud ADSP-implementatie draait, en combineer dit met de ondersteuning van CertSecure Manager voor zowel openbare als private CA's, zodat on-premises en cloud-applicaties één consistent vernieuwingsbeleid volgen.

Welke voorwaarden zijn nodig vóór de implementatie?

U hebt F5 Advanced Shell (TMSH)-toegang nodig tot de doel-BIG-IP-instantie, poort 22 moet openstaan ​​voor agentcommunicatie, een CertSecure Manager-tenant met een registratietoken, een inventaris van de virtuele servers en client-SSL-profielen die onder beheer moeten worden gebracht, en een beslissing over welke CA certificaten zal uitgeven voor elke applicatie.

Welke schermafbeeldingen of configuratievoorbeelden moeten worden bijgevoegd?

Teams die hun eigen uitrol documenteren, moeten de BIG-IP TMSH-sessie vastleggen waarin de installatie van het certificaat en de sleutel te zien is, de agentregistratie en de schakelaar "Vernieuwen en toepassen" op het CertSecure Manager-dashboard, en de auditlogboekvermelding voor een voltooide rotatie. Deze laatste moet idealiter eerst worden vastgelegd na een succesvolle testrotatie in een niet-productieomgeving.