Centralisation des certificats SSL/TLS : pour qui, quoi, comment ? #134

New Issue

Closed

opened 2023-10-16 15:07:43 +02:00 by neox · 0 comments

neox commented

2023-10-16 15:07:43 +02:00

Owner

La plupart du temps, la gestion des certificats devrait rester décentralisée (i.e chaque machine virtuelle gère son certificat, généré par challenge HTTP).

Cependant ce n'est pas toujours possible, notamment dans le cas de services où la présence d'un certificat racine est obligatoire, alors même que ces services ne sont pas accessible en HTTP par le domaine racine.

C'est le cas par exemple d'XMPP, qui nécessite de par la norme d'avoir un certificat pour le domaine racine et cinq ou six sous-domaines. Ce cas ne permet pas à la machine d'obtenir un certificat par un challenge HTTP, mais donc nécessite un certificat wildcard généré par challenge DNS.

Quels services dans l'infra (et côté Chalec) nécessitent un tel certificat ?

La plupart du temps, la gestion des certificats devrait rester décentralisée (i.e chaque machine virtuelle gère son certificat, généré par _challenge HTTP_). Cependant ce n'est pas toujours possible, notamment dans le cas de services où la présence d'un certificat racine est obligatoire, alors même que ces services ne sont pas accessible en HTTP par le domaine racine. C'est le cas par exemple d'XMPP, qui nécessite de par la norme d'avoir un certificat pour le domaine racine et cinq ou six sous-domaines. Ce cas ne permet pas à la machine d'obtenir un certificat par un _challenge HTTP_, mais donc nécessite un certificat _wildcard_ généré par challenge DNS. Quels services dans l'infra (et côté Chalec) nécessitent un tel certificat ?