Certificates & PKI

Certificates & PKI, TR7'nin sunduğu ve kurduğu TLS bağlantılarında kullanılan sertifikaların, güven zincirlerinin ve bağlantı güvenliği politikalarının yönetildiği bölümdür. Configuration Menu'deki Certificates & PKI sekmesinde yedi ekran bulunur; sol menü bu ekranları arayüzdeki sırayla listeler.

Bölümdeki ekranlar birbirini tamamlar: vService'lerde sunulacak sertifikalar SSL/TLS Certificates ekranında tutulur; bu sertifikalarla kurulan bağlantının sürüm, cipher ve doğrulama kuralları TLS Security Profiles ile belirlenir; zincirlerdeki ara ve kök sertifikalar ile dahili sertifika otoriteleri Certificate Authorities (CA) ekranında tanımlanır; dahili CA'nın ürettiği sertifikaların şablonu Certificate Profiles, TR7'nin istemci olarak sunduğu kimlikler Client Certificates, yeniden kullanılabilir anahtarlar Private Key Library ve ACME DNS-01 doğrulaması için sağlayıcı kimlik bilgileri ACME DNS Providers ekranındadır.

7

Ekran

Arayüzdeki Certificates & PKI sekmesindeki kart sırasıyla

ACME

Otomatik sertifika

Let's Encrypt ve diğer ACME otoritelerinden alım ve otomatik yenileme; DNS-01 ile joker sertifika

Dahili PKI

Kök ve imzalayıcı CA

TR7 üzerinde iki kademeli CA hiyerarşisi; sunucu ve istemci sertifikası üretimi

mTLS

Çift yönlü doğrulama

vService'te istemci sertifikası doğrulaması, Kurum Servisi'ne istemci sertifikası sunma

Ekranlar nasıl birlikte çalışır?

1. Bir vService'in HTTPS sunabilmesi için SSL/TLS Certificates ekranından bir sertifika (ACME.SH, Manual, PFX ya da dahili CA ile üretilmiş) ve isteğe bağlı olarak TLS Security Profiles ekranından bir güvenlik profili seçilir.
2. Sertifikanın zinciri Certificate Authorities (CA) ekranındaki kayıtlara atıfla sunulabilir; aynı ekrandaki dahili CA'lar, Certificate Profiles şablonlarıyla sunucu ve istemci sertifikası üretir.
3. TR7'nin Kurum Servisi'ne kendini tanıttığı bağlantılarda Client Certificates ekranındaki kimlikler, Kurum Servisi sertifikasının doğrulanmasında ise CA kayıtları kullanılır.
4. Yenilendiğinde genel anahtarı değişmemesi gereken sertifikalar Private Key Library anahtarlarıyla, joker alan adlı ACME sertifikaları ise ACME DNS Providers profilleriyle yönetilir.

Ekranlar

SSL/TLS Certificates

vService'lerde sunulan sertifikalar: ACME.SH ile otomatik alım ve yenileme, Manual/PFX içe aktarma, dahili CA ile üretim; CSR (External CA) ve Issued Certificates (Internal PKI) sekmeleri, zincir doğrulama ve PFX dışa aktarma.

→

TLS Security Profiles

TLS sürüm aralığı, cipher setleri, eğriler, kuantum sonrası anahtar değişimi, SNI/Host doğrulaması, OCSP Stapling, HSTS ve istemci sertifikası doğrulama (mTLS); vService ve Kurum Servisi'nde uygulanma.

→

Certificate Authorities (CA)

Güvenilen CA sertifikaları ve dahili PKI: kök ve imzalayıcı CA üretimi, harici CA altına kayıt, mevcut CA'yı içe aktarma; zincir, mTLS ve Kurum Servisi doğrulamasında güven kaynağı.

→

Certificate Profiles

Dahili CA ile üretilen sertifikaların şablonu: kullanım alanı, geçerlilik süresi, otomatik yenileme eşiği, anahtar algoritması, EKU ve SAN şablonu.

→

Client Certificates

TR7'nin Kurum Servisi bağlantılarında ve sağlık denetimlerinde sunduğu istemci kimlikleri: dahili CA ile üretim (e-posta, Windows oturum adı, personel numarası) ya da içe aktarma.

→

Private Key Library

Yeniden kullanılabilir özel anahtarlar: üretim, içe aktarma ve sertifikadan alma; CSR isteklerinde aynı anahtarla yeniden imzalatma (anahtar sabitleme).

→

ACME DNS Providers

ACME DNS-01 doğrulaması için sağlayıcı kimlik bilgisi profilleri: Cloudflare, Amazon Route 53, Azure DNS ve 171 eklentilik katalogla Generic (acme.sh dnsapi); joker sertifikalar.

→

Kullanım Yerleri

Ekran	Kullanıldığı yer
SSL/TLS Certificates	vService Certificate alanı, Management Access HTTPS Certificate, Kurum Servisi ve sağlık denetimi istemci sertifikası seçicileri
TLS Security Profiles	vService SSL Security modülü, Kurum Servisi Backend SSL Security Profile
Certificate Authorities (CA)	Sertifika zinciri (Use Profiles), TLS profili CA Certificate Files, Kurum Servisi ve sağlık denetiminde sertifika doğrulaması açıkken Verification CA Profile, dahili PKI üretimi (Issuing CA)
Certificate Profiles	SSL/TLS Certificates (Internal CA türü) ve Client Certificates üretim formları
Client Certificates	Kurum Servisi Client Certificate presented to backend (mTLS), sağlık denetimi Client Certificate to present (mTLS)
Private Key Library	SSL/TLS Certificates CSR (External CA) sekmesi (Use a key from the library); sertifika listesindeki Take the key into the library işlemiyle kütüphaneye alınan anahtarlar
ACME DNS Providers	SSL/TLS Certificates ACME.SH formundaki DNS Provider alanı (Challenge Type: DNS-01 seçiliyken)