Scénario #15927
Étudier la gestion des certificats sur 2.6
100%
Description
Pistes de travail :
- droits appliqués sur les fichiers (600)
- contenu de la requête :
- bannir les IP/nom
- vérifier les CN et les altname
- maquette OCSP/CRL
- certificats auto-signés :
- génération aléatoire su serial id
- plus de certificat auto-signé à terme
Sous-tâches
Historique
#1 Mis à jour par Joël Cuissinat il y a environ 8 ans
- Description mis à jour (diff)
- Points de scénarios mis à 8.0
#2 Mis à jour par Joël Cuissinat il y a presque 8 ans
- Version cible changé de sprint 2016 16-18 - Equipe MENESR à sprint 2016 19-21 - Equipe MENESR
#3 Mis à jour par Joël Cuissinat il y a presque 8 ans
- Assigné à changé de force orange à force indigo
#4 Mis à jour par Philippe Caseiro il y a presque 8 ans
La problématique des certificats est fortement liée au problème du nommage de la machine.
Aujourd'hui sur un serveur scribe il est possible que la machine ai jusqu'a 3 noms :- Nom de domaine local : scribe.etb1.lan
- Nom de domaine public : scribe.ac-test.fr
- Web url : etb1.ac-test.fr
Ce mode de fonctionnement est incompatible avec la gestion des certificats "modernes".
Le problème est qu'il n'est pas possible de produire un certificat "valide" pour tous les noms.
Les services comme l'EAD utilisent 127.0.0.1 ce qui deviens également impossible, du coup comment déterminer quel nom utiliser pour la communication entre le backend et le frontend, pareil pour zephir, ou tous les services EOLE qui utilisent le principe "frontend/backend".
Il y a deux approches pour "résoudre" ce problème :
- Le nom unique ! la machine a un et un seul nom resolvable depuis n'importe ou
(interieur/extérieur). - Le domaine unique et un nom par service (imap, sso, ead, services web ...) et
les noms en question doivent être résolvables depuis n'importe ou
(intérieur/extérieur).
Les deux solutions sont très proches, et compatibles avec 'Let's Encrypt' si les domaines sont publics.
En l'état actuel des choses il est très difficile d'apporter une solution sans remettre en question nos méthodes dans la gestion des noms de machines et de génération de certificats.
#5 Mis à jour par Fabrice Barconnière il y a presque 8 ans
- Statut changé de Nouveau à Terminé (Sprint)