Välj CLM-lösning: fem nivåer från gratis ACME till enterprise

Nivå 1

Gratis ACME, där ni bygger det själva

Därför gratis ACME

Certifikaten är gratis, klienterna är mogna, och för en publik webbplats med ACME inbyggt fungerar det bra. Både små och stora använder det, och i en stor del av fallen är det rätt val.

Ekonomi och komplexitet på nivå 1

Ingen licens. I gengäld bygger ni validering, övervakning och hantering själva, och det finns ingen att ringa. Konfigurationen ligger på varje server.

• Domänvalidering är den största risken. HTTP-01 kräver att port 80 går att nå utifrån, vilket interna servrar inte gör. DNS-01 slipper porten men kräver i stället ett API-token till er DNS-leverantör på varje server som förnyar, och ett sådant token kan normalt redigera hela zonen.
• Ingen central hantering och ingen övervakning. Varje server har sin egen klient och sin egen cron-rad. Misslyckas en förnyelse händer ingenting, och ett cron-jobb som slutat köra ser precis ut som ett som kör.
• Ingen fallback. Slår ni i en rate limit, eller är utfärdaren nere just när certifikatet ska förnyas, finns ingen annan källa att hämta från.
• Återställning från backup begränsas av rate limits. Att lägga till certifikat lite i taget fungerar, men ska alla bytas ut på en gång, till exempel efter en återställning, slår ni i utfärdarens rate limits per domän. Då går sidorna inte att öppna, och det finns inget annat att göra än att vänta.
• Appliances är ett arbete i sig. F5, FortiGate, NetScaler och en del Cisco-utrustning har ännu inte ACME inbyggt, och där det har kommit är klienten ofta låst till Let's Encrypt och kräver öppen port eller DNS-nycklar. Så länge de inte klarar det själva går vägen via en annan server med skript som trycker in certifikatet över SSH eller REST API.
• Utfärdande är inte installation. Certifikatet ska ut i IIS-bindningen, in i keystoret, konverteras till PFX eller JKS och läggas på lastbalanseraren, och tjänsten ska startas om. Arbetet måste göras för varje system och varje program.

Lösningar på nivå 1

• Let's Encrypt är den mest spridda. Endast DV, 90 dagars giltighet, inget konto.
• Google Trust Services kör samma modell på Googles infrastruktur.
• ZeroSSL erbjuder ACME plus ett webbgränssnitt för den som hellre klickar.
• cert-manager och AWS Certificate Manager är inget val ni gör: kör ni Kubernetes med cert-manager eller kör tjänster bakom en AWS-lastbalanserare är förnyelsen redan löst där.

Vidare till nivå 2 när

certifikatet sitter på något internt eller kritiskt, det ska övervakas, eller det inte kan valideras över port 80 utan att ni lägger ut DNS-nycklar på servern.

Nivå 4

CA:ernas egna plattformar

Därför CA:ns egen plattform

Plattformen kommer från den CA ni redan köper certifikat hos, och det är det som utmärker nivån. Var den körs varierar: de flesta levereras som tjänst, men DigiCert ONE kan även köras on-premises, in-country eller hybrid.

Plattformarna gör mer än att erbjuda ACME. De stora plattformarna har discovery av certifikat i ert nät, lokala agenter för de servrar som kan köra en agent och ACME för resten, proxy-komponenter för att nå in bakom brandväggen, koppling till er lokala CA och SCEP för enheter. De kan dessutom i ökande grad ta in andra CA:er, inte bara sin egen.

Ekonomi och komplexitet på nivå 4

Priset avtalas individuellt och hänger normalt samman med er certifikatvolym hos den aktuella CA:n, så det kan se lågt ut om ni redan köper mycket där. I gengäld binder ni er till deras ekosystem. När de säger att de stödjer andra CA:er, fråga i varje enskilt fall om det gäller upptäckt, import, utfärdande eller driftsättning, för det är inte samma sak.

Lösningar på nivå 4

• DigiCert ONE och Trust Lifecycle Manager är en containerbaserad plattform med separata managers för TLS, code signing, enheter och dokument, och kan driftsättas i molnet, in-country, on-premises eller hybrid. Kontakta oss för pris och installation.
• GlobalSign har Atlas som utfärdandelager, TLS Connect med discovery och driftsättning med eller utan agent, och LifeCycleX, som även samlar certifikat från Microsoft CA och EJBCA. Den enda med jurisdiktion utanför USA bland de CA:er vi arbetar med. Kontakta oss för pris och installation.
• Sectigo Certificate Manager har marknadsförts som CA-agnostisk sedan 2021, och deras universella ACME-endpoint kan utfärda från vilken ACME-kompatibel CA som helst, förutsatt att valideringen är klar först.

Vidare till nivå 5 när

certifikathantering ska köpas som del av ett större paket, eftersom PKI-drift, signering, SSH-nycklar eller nätverksautomatisering hör till samma beslut.

Nivå 5

Enterprise-identitetsplattform

Därför en enterprise-identitetsplattform

Här är certifikathantering en modul i ett större paket kring maskinidentitet och PKI, och man köper sällan bara certifikatdelen. Vad paketet i övrigt innehåller skiljer sig från leverantör till leverantör, och det är där jämförelsen hör hemma.

Ekonomi och komplexitet på nivå 5

En förhandling och en designfas innan något sätts upp, på en prisnivå som inte skalar ned. Anskaffningen blir oftast ett företagsbeslut om automatisering i stort, inte ett tekniskt beslut om certifikat.

Lösningar på nivå 5

• Keyfactor täcker PKI i hela dess bredd. Command är en CLM-plattform med stöd för flera CA:er, både publika och privata, EJBCA är CA-mjukvaran bakom med EST, SCEP, ACME och CMPv2, och PKI kan köpas som driftad tjänst.
• Venafi inriktar sig på identitetssäkerhet. Produkten ligger i dag i Palo Alto Networks Idira-plattform, efter att CyberArk köpt Venafi och Palo Alto köpt CyberArk, tillsammans med privileged access, secrets management och styrning av AI-agenter.
• AppViewX inriktar sig på infrastrukturautomatisering. Certifikathantering är en modul vid sidan av PKI, SSH-nycklar, code signing och automatisering av lastbalanserare och ADC:er, med över 200 integrationer.

Det finns ingen högre nivå

Under några hundra servrar betalar ni för en plattform som är betydligt större än uppgiften. Pris på förfrågan.