Handleiding voor de integratie van de EJBCA Agentless CA Connector
Deze handleiding beschrijft hoe u EJBCA als agentloze CA-connector kunt toevoegen in CertSecure Manager. In tegenstelling tot agentgebaseerde connectors (waarvoor een connectorservice via de ISO moet worden geïnstalleerd), wordt de agentloze integratie volledig geconfigureerd vanuit de CertSecure-gebruikersinterface met behulp van de REST API van EJBCA en is er geen software-installatie op een aparte host nodig. EJBCA verschijnt als een CA-type naast AWS Private CA, GlobalSign, HashiCorp Vault, Google CAS en Let's Encrypt.
Let op: Er is geen ISO-/installatiestap en geen registratietoken. Als EJBCA grijs/niet geconfigureerd wordt weergegeven in uw tenant, wordt het selecteerbaar zodra de bijbehorende machtiging is ingeschakeld.
Voorwaarden
- De frontend en backend van CertSecure Manager zijn volledig operationeel.
- Uw account beschikt over de machtiging 'Certificeringsinstanties beheren'.
- Een bereikbare EJBCA-instantie met ingeschakelde REST API (en/of EST) en de doel-CA online.
- Clientreferenties voor EJBCA: een geautoriseerd client-TLS-certificaat (mTLS) of gebruikersnaam/wachtwoord met rechten om zich aan te melden en certificaten in te trekken bij de doel-CA.
- De namen van de EJBCA CA, het End Entity Profile en het Certificate Profile die gebruikt moeten worden.
- Netwerkverbinding van de CertSecure-backend naar de EJBCA API (standaard HTTPS 443/8443).
Verbindingsreferentie
| Item | Vereiste / Waarde |
|---|---|
| API-eindpunt | bijv. https://{URL}/ejbca/ejbca-rest-api |
| Verificatietype | Clientcertificaat + sleutel (mTLS) of Basis |
| CA-naam | Doelwit is de uitgifte van CA in EJBCA |
| Eindentiteitsprofiel | Regelt het onderwerp/SAN en de toegestane velden. |
| Certificaatprofiel | Regelt sleutelalgoritme/grootte, geldigheid, EKU's |
Configuratiestappen
Stap 1: Verzamel de contactgegevens van EJBCA
- Basis-URL / API-eindpunt.
- Authenticatietype en inloggegevens (clientcertificaat + sleutel, of basisauthenticatie).
- De CA-naam, het eindgebruikersprofiel, het certificaatprofiel, plus het sleutelalgoritme/de sleutelgrootte en de geldigheidsduur die door het profiel worden toegestaan.
Stap 2: Voeg de EJBCA CA toe in CertSecure
- Ga naar Beheer > CA-beheer → CA toevoegen.
- Kies CA-type: EJBCA.
- Voer in: Weergave-/CA-naam, API-basis-URL, authenticatietype + referenties (upload clientcertificaat/sleutel of voer basisgegevens in), CA-/eindentiteitsprofiel/certificaatprofiel en vernieuwings-/synchronisatie-interval.
- Klik op Opslaan.
Stap 3: Controleer de verbinding en synchroniseer
- CertSecure valideert het eindpunt en de inloggegevens; bij succes wordt de CA weergegeven als Online onder Beheer > CA-beheer (en Hulpprogramma's > Connectoren indien weergegeven).
Stap 4: Aanmelden / Verlengen / Intrekken
- Kwestie: Inschrijving > Certificaat genereren (of CSR-inschrijving) → selecteer de EJBCA CA + sjabloon → Verzenden. CertSecure roept EJBCA REST aan om het certificaat uit te geven.
- Verlengen / Intrekken: Uitgevoerd vanuit de inventaris, net als bij andere CA's.
Problemen oplossen
| Symptoom | waarschijnlijke oorzaak | Bepalen |
|---|---|---|
| CA-type grijs weergegeven | Toestemming/functie-vlag niet ingeschakeld | Bevestig de licentie voor EJBCA. |
| 401 / 403 | Clientcertificaat niet geautoriseerd, of toegangsregel voor eindgebruikersprofiel | Controleer de beheerdersrollen en profieltoegang van EJBCA. |
| Aanmelding afgewezen | Onderwerp/SAN schendt de beperkingen van het certificaatprofiel. | Stem het sjabloon af op het EJBCA-profiel. |
| TLS-fout | EJBCA-server/client-certificaatketen niet vertrouwd | Herstel de vertrouwensrelaties aan beide kanten. |