Gestion automatique des certificats via ACME et Apache

Overview & Synopsis

À la fin de l’année 2020, le CABForum a réduit la durée de vie des certificats serveurs X.509, passant de trois ans à un an, augmentant de fait le rythme des opérations de renouvellement. Dans le contexte Inria, ce sont dorénavant plus de 1500 certificats qu’il faut renouveler tous les ans pour l’ensemble des 10 sites géographiques. Les processus existants n’étaient donc plus adaptés et un fonctionnement manuel n’était plus envisageable. Dans le cadre d’une exploitation globale portée par le service Production de la DSI, nous avons étudié différents moyens de gérer automatiquement ces certificats (création/renouvellement/révocation) afin de garantir une livraison sécurisée aux équipements devant les utiliser. Nos travaux nous ont conduits à développer et déployer une solution visant à automatiser ces traitements en les associant à des modules d’orchestration (Puppet et Ansible) garantissant un déploiement maîtrisé. Cette solution se compose d’un serveur de génération et distribution des certificats et d’un script client permettant d’authentifier les demandes pour les récupérer. Cette authentification, basée sur des référentiels externes de confiance (CA, DNS ou LDAP) garantit ainsi que chaque machine cliente ne pourra récupérer que les certificats pour lesquels elle aura préalablement été autorisée. Le poster présente l’architecture multi-tenant, basée sur des applications reconnues, des protocoles standards (ACME/HTTPS/LDAP) et des développements simples pour assurer les communications entre les tiers ainsi que l’exploitation et la surveillance. Venez découvrir les détails de l’intégration de cette solution dans notre SI et échanger sur la façon dont vous pourriez l’intégrer au vôtre.