Integratiehandleiding voor PrimeKey EJBCA Enterprise (KMIP)

Overzicht

Deze handleiding verbindt de CBOM Secure Discover_KMIP-sensor met een PrimeKey EJBCA Enterprise-instantie die een KMIP 1.2+-interface via TLS beschikbaar stelt op poort 5696, alleen-lezen:

  • Symmetrische en asymmetrische sleutels in de KMIP-sleutelopslag
  • Belangrijkste kenmerken: algoritme, lengte, status, activerings-/deactiveringsdatums, UID's
  • Beheerde objecten: certificaten, geheime gegevens en ondoorzichtige objecten
  • Levenscyclusmetadata: aanmaaktijdstempels en cryptografische gebruiksmaskers

Let op: dit is het pad voor de KMIP-add-on; voor het opvragen van REST API-certificaten via EJBCA raadpleegt u de aparte EJBCA-handleiding.

Voorwaarden

  • EJBCA Enterprise 7.4+ met een actieve KMIP-modulelicentie.
  • Toegang tot de EJBCA Admin webinterface is alleen mogelijk voor superbeheerders of RA-beheerders.
  • Een interne CA in EJBCA om het clientcertificaat te ondertekenen (aangeduid als Internal-TLS-CA).
  • Inkomende TCP-poort 5696 toegestaan ​​vanaf de sensorhost; de CA-keten (PEM) geëxporteerd voor serververificatie.
  • OpenSSL of keytool beschikbaar; de Discover_KMIP-sensor (2.0+) geïnstalleerd.

Stapsgewijze handleiding

Stap 1: Een eindgebruikersprofiel en een certificaatprofiel aanmaken

In de beheerdersinterface → RA-functies → Eindentiteitsprofielen voegt u CBOM_KMIP_Client toe met CN vereist, standaard CA Internal-TLS-CA en token = P12-bestand (wachtwoord vereist). Maak een certificaatprofiel CBOM_KMIP_TLS_Client aan (Eindentiteitstype, sleutelgebruik Digitale handtekening + sleutelversleuteling, EKU TLS-webclientverificatie, geldigheidsduur 365 dagen).

Stap 2: Het clientcertificaat uitgeven

Ga naar RA Functions → Add End Entity en maak de gebruikersnaam cbom-kmip-sensor aan met de CN cbom-kmip-sensor, gebruikmakend van de bovenstaande profielen en een tijdelijk inschrijvingswachtwoord. Schrijf u in via de openbare EJBCA-website (Inschrijven met gebruikersnaam) om een ​​RSA 2048-sleutel (of EC P-256-sleutel) te genereren en download cbom-kmip-sensor.p12. Verifieer en prepareer deze:

openssl pkcs12 -in cbom-kmip-sensor.p12 -nokeys -clcerts \ -passin pass:'Cbom@TmpP12!2025' | openssl x509 -noout -subject -dates chmod 640 /etc/cbom/certs/cbom-kmip-sensor.p12 chmod 644 /etc/cbom/certs/internal-tls-ca-chain.pem chown cbom-service:cbom-service /etc/cbom/certs/cbom-kmip-sensor.p12

Stap 3: Schakel de KMIP-service in.

Ga naar Systeemfuncties → Services, bewerk de KMIP-service, bevestig dat deze actief is, stel het werkinterval in, sla op en voer de service uit. Controleer de listener:

openssl s_client -connect :5696 \ -cert /etc/cbom/certs/cbom-kmip-sensor.p12 -certform P12 \ -pass pass:'Cbom@TmpP12!2025' \ -CAfile /etc/cbom/certs/internal-tls-ca-chain.pem

Stap 4: Verleen KMIP leesrechten

Maak onder Systeemfuncties → Rollen en toegangsregels een rol CBOM_KMIP_ReadOnly aan met de rechten KMIP/Locate, KMIP/Get en KMIP/GetAttributes, en voeg een rollid toe dat overeenkomt met de DN van het clientcertificaat CN=cbom-kmip-sensor. Verleen nooit de rechten Create, Destroy, Register of Activate.

Stap 5: Configureer de CBOM Secure Sensor

Sensoren: - naam: Discover_KMIP ingeschakeld: true type: kmip schema: "0 2 * * *" verbinding: host: ejbca.internal.example.com poort: 5696 tls: ingeschakeld: true client_cert: /etc/cbom/certs/cbom-kmip-sensor.p12 client_cert_format: pkcs12 client_cert_password: "${CBOM_EJBCA_P12_PASSWORD}" ca_bundle: /etc/cbom/certs/internal-tls-ca-chain.pem verify_server_cert: true kmip: protocol_version: "1.2" bewerkingen: [Locate, Get, "Get Attributes", "Get Attribute List"] object_types: [SymmetricKey, PublicKey, PrivateKey, Certificate, SecretData, OpaqueObject] uitvoer: formaat: cbom-json label: ejbca-prod-kmip

Stap 6: Valideren

cbom-sensor run --sensor Discover_KMIP --config /etc/cbom/sensors/ejbca-kmip.yaml --dry-run tail -100 /var/log/cbom/discover_kmip.log | grep -E "ERROR|WARN"

Controleer of een KMIP Locate objecten retourneert en of er geen ERROR-regels verschijnen; controleer of de bron ejbca-prod-kmip wordt weergegeven in het CBOM-dashboard.

Veel voorkomende fouten

TLS-handshake — certificaatverificatie mislukt

Oorzaak: ca_bundle is onvolledig (tussenliggende gegevens ontbreken).

Oplossing: Download de volledige CA-keten (CA-functies → CA-certificaatketen PEM downloaden) en vervang het bundelbestand.

KMIP-bewerking niet toegestaan ​​— Toegang geweigerd

Oorzaak: De client-DN is niet gekoppeld aan een rol die Locate/Get/GetAttributes toestaat.

Oplossing: Maak/verifieer de rol CBOM_KMIP_ReadOnly met een lid dat overeenkomt met CN=cbom-kmip-sensor.

Verbinding geweigerd op 5696

Oorzaak: De KMIP-service is niet actief of een firewall blokkeert poort 5696.

Oplossing: Controleer de service onder Systeemfuncties → Services, controleer ss -tlnp | grep 5696 en open de firewall naar de sensorhost.

Beveiligingsaanbevelingen

  • Bewaar het P12-wachtwoord in een geheimenbeheerder (de sensor ondersteunt vault://-referenties).
  • Beperk de P12 tot het cbom-service-account in modus 0640.
  • Vervang het clientcertificaat jaarlijks en werk de configuratie bij.
  • Beperk de KMIP-rol tot alleen Locate/Get/GetAttributes.
  • Schakel EJBCA KMIP-auditregistratie in voor een fraudebestendig queryspoor.

Conclusie

De Discover_KMIP-sensor authenticeert zich bij PrimeKey EJBCA via wederzijdse TLS en inventariseert alle door KMIP beheerde objecten in alleen-lezenmodus, met een controleerbare, herroepbare clientidentiteit die is uitgegeven door de interne CA, en levert continue cryptografische assetdetectie aan CBOM Secure.