Vælg CLM-løsning: fem niveauer fra gratis ACME til enterprise

Niveau 1

Gratis ACME, hvor I bygger det selv

Hvorfor gratis ACME

Certifikaterne er gratis, klienterne er modne, og for et website, der kan nås fra internettet og har ACME indbygget virker det fint. Både små og store bruger det, og i en stor del af tilfældene er det det rigtige valg.

Økonomi og kompleksitet på niveau 1

Ingen licens. Til gengæld bygger I selv validering, overvågning og styring, og der er ingen at ringe til. Konfigurationen ligger på hver server.

• Domænevalidering er den største risiko. HTTP-01 kræver at port 80 kan nås udefra, og det kan den ikke på interne servere. DNS-01 kræver i stedet et API-token til jeres DNS-udbyder på hver server, og det token kan typisk redigere hele zonen.
• Ingen central styring og ingen overvågning. Hver server har sin egen klient og sin egen cron-linje. Fejler en fornyelse, sker der ingenting, og et cron-job der er holdt op med at køre ser ud som et der kører.
• Ingen fallback. Rammer I en rate limit, eller er udstederen nede når certifikatet skal fornys, er der ingen anden CA at gå til.
• Gendannelse fra backup støder på rate limits. Det er let nok at tilføje certifikater lidt ad gangen, men skal de alle udskiftes på én gang, for eksempel efter en gendannelse, rammer I udstederens rate limits per domæne. Så kan siderne ikke åbnes, og der er ikke andet at gøre end at vente.
• Appliances er et arbejde i sig selv. F5 BIG-IP har indbygget ACME fra 21.1.0 og FortiGate fra 7.6.3, men NetScaler, ældre F5, KEMP, FortiMail og en del Cisco-udstyr har det ikke. Og hvor ACME er kommet, er klienten ofte låst til Let's Encrypt og kræver åbne porte eller DNS-credentials. Uden indbygget ACME går vejen gennem en anden server med scripts, der deployer certifikatet over SSH eller REST API.
• Udstedelse er ikke installation. Certifikatet skal ud i IIS-bindingen, ind i keystore-filen, konverteres til PFX eller JKS og lægges på load balanceren, og tjenesten skal genstartes. Det er arbejde for hvert system og hvert stykke software.

Løsninger på niveau 1

• Let's Encrypt er den mest udbredte. Kun DV, 90 dages gyldighed, ingen konto.
• Google Trust Services kører samme model på Googles infrastruktur.
• ZeroSSL tilbyder ACME plus et webinterface til dem, der vil klikke.
• cert-manager og AWS Certificate Manager er ikke noget, I skal vælge: kører I Kubernetes med cert-manager eller bag en AWS load balancer, er fornyelsen allerede løst dér.

Videre til niveau 2 når

certifikatet sidder på noget internt eller kritisk, det skal overvåges, eller det ikke kan validere over port 80 uden at I lægger DNS-credentials ud på serveren.

Niveau 4

CA'ernes egne platforme

Hvorfor CA'ens egen platform

Platformen kommer fra den CA, I i forvejen køber certifikater hos, og det er dét, der adskiller niveauet. Hvor den kører, varierer: de fleste leveres som tjeneste, men DigiCert ONE kan også køre on-premises, i eget land eller hybrid.

Det er ikke bare ACME i deres cloud. De store platforme har discovery af certifikater i jeres netværk, lokale agenter til de servere, der kan køre en agent, ACME til resten, proxy-komponenter til at nå ind bag firewallen, forbindelser til jeres lokale CA og SCEP til enheder. De understøtter desuden i stigende grad andre CA'er end deres egen.

Økonomi og kompleksitet på niveau 4

Prisen aftales individuelt og hænger typisk sammen med jeres certifikatvolumen hos den pågældende CA, så den kan se lav ud, hvis I i forvejen køber meget dér. Til gengæld binder I jer til deres økosystem. Spørg i hvert tilfælde om de mener discovery, import, udstedelse eller deployment, når de siger, at de understøtter andre CA'er. Det er ikke det samme.

Løsninger på niveau 4

• DigiCert ONE og Trust Lifecycle Manager er en containerbaseret platform med separate managers til TLS, code signing, enheder og dokumenter, og kan deployes i cloud, i eget land, on-premises eller hybrid. Kontakt os for pris og opsætning.
• GlobalSign har Atlas som udstedelseslag, TLS Connect med discovery og deployment med eller uden agent, og LifeCycleX, der også samler certifikater fra Microsoft CA og EJBCA. Den eneste under jurisdiktion uden for USA blandt de CA'er, vi arbejder med. Kontakt os for pris og opsætning.
• Sectigo Certificate Manager har været markedsført som CA-agnostisk siden 2021, og deres universelle ACME-endpoint kan udstede fra enhver ACME-kompatibel CA, mod at valideringen er klaret først.

Videre til niveau 5 når

certifikatstyring skal købes som en del af en større pakke, fordi PKI-drift, signering, SSH-nøgler eller netværksautomatisering skal med i samme beslutning.

Niveau 5

Enterprise-identitetsplatform

Hvorfor en enterprise-identitetsplatform

Certifikatstyring er her ét modul i en større pakke om maskinidentitet og PKI, og I køber sjældent kun certifikatdelen. Hvad pakken ellers indeholder, er forskelligt fra leverandør til leverandør, og det er dér sammenligningen skal ligge.

Økonomi og kompleksitet på niveau 5

Forhandling og designfase før noget bliver sat op, og et prisniveau der ikke skalerer ned. Anskaffelsen bliver typisk en beslutning for hele organisationen om automatisering generelt, ikke en teknisk beslutning om certifikater.

Løsninger på niveau 5

• Keyfactor satser på hele PKI-området. Command er en multi-CA CLM på tværs af offentlige og private CA'er, EJBCA er CA-softwaren bag med EST, SCEP, ACME og CMPv2, og PKI kan købes som managed service.
• Venafi satser på identitetssikkerhed. Efter at CyberArk købte Venafi, og Palo Alto købte CyberArk, ligger produktet i Palo Alto Networks' Idira-platform sammen med privileged access, secrets management og styring af AI-agenter.
• AppViewX satser på infrastrukturautomatisering. Certifikatstyring er ét modul ved siden af PKI, SSH-nøgler, code signing og automatisering af load balancere og ADC'er, med over 200 integrationer.

Der er ikke flere niveauer

Har I under nogle hundrede servere, betaler I for en platform, der er væsentligt større end opgaven. Pris efter tilbud.