Certificate Profiles

Certificate Profile Nedir?

Certificate Profile, TR7'nin dahili sertifika otoritesiyle (internal PKI) ürettiği sertifikaların nasıl kesileceğini belirleyen yeniden kullanılabilir şablondur. Profil; sertifikanın kullanım alanını (sunucu ya da istemci), geçerlilik süresini, bitişten kaç gün önce kendiliğinden yenileneceğini, anahtar algoritmasını, genişletilmiş anahtar kullanımı (EKU) değerlerini ve ek alan adları için SAN şablonunu tanımlar. Sertifika üretilirken bir dahili CA ile birlikte bir profil seçilir; profil değerleri üretim anında ve her otomatik yenilemede yeniden okunur.

Profiller iki yerde kullanılır: SSL/TLS Certificates ekranında Internal CA türüyle sunucu sertifikası üretirken (TLS Server kullanımlı profiller) ve Client Certificates ekranında dahili CA'dan istemci sertifikası üretirken (Client / mTLS kullanımlı profiller).

2

Kullanım alanı

TLS Server (vService sertifikaları) ve Client / mTLS (istemci kimlikleri)

365 gün

Varsayılan süre

Geçerlilik 1–3650 gün arasında; varsayılan 365

30 gün

Yenileme eşiği

Bitişe bu kadar gün kala sunucu sertifikası kendiliğinden yeniden üretilir; 0 yenilemeyi kapatır

5

Anahtar algoritması

RSA 2048 / 3072 / 4096, ECDSA P-256 / P-384

EKU

Anahtar kullanımı

Server Authentication ve/veya Client Authentication

{cn}

SAN şablonu

Alan adı verilmeyen üretimlerde SAN listesini şablondan türetir

Nasıl çalışır?

1. Profil bu ekranda tanımlanır; Usage alanı profilin sunucu sertifikaları için mi (TLS Server) yoksa istemci sertifikaları için mi (Client / mTLS) kullanılacağını belirler ve profil yalnızca uygun ekranın seçicisinde listelenir.
2. Sertifika üretilirken dahili CA ve profil seçilir; TR7 anahtarı profildeki algoritmayla üretir, sertifikayı profildeki süre ve EKU değerleriyle keser. Sunucu sertifikasında SAN listesi boş bırakılmışsa SAN Template uygulanır; CN sunucu sertifikalarında her durumda SAN listesine eklenir.
3. Üretilen sunucu sertifikası için Issued Certificates (Internal PKI) sekmesine bir üretim kaydı yazılır; günde iki kez ve cihaz açılışından sonra yapılan kontrolde kalan süre profildeki Renew this many days before expiry eşiğinin altına inen sertifikalar, profilin o anki değerleriyle yeni anahtar ve seri numarasıyla yeniden üretilir.
4. Profil düzenlendiğinde değişiklik geriye dönük uygulanmaz; sonraki üretimlerde ve otomatik yenilemelerde yeni değerler kullanılır.

Profil Parametrelerinin Etkisi

Parametre	Sunucu sertifikası (Internal CA)	Otomatik yenileme	İstemci sertifikası
Usage	Yalnızca TLS Server profiller seçilebilir	—	Yalnızca Client / mTLS profiller seçilebilir
Lifetime (days)	Geçerlilik süresi	Yenilenen sertifikaya yeniden uygulanır	Geçerlilik süresi
Renew this many days before expiry	Üretim kaydına bağlı yenileme eşiği	Kalan süre eşiğin altına inince yenileme; 0 yenilemeyi kapatır	Uygulanmaz (istemci sertifikaları kendiliğinden yenilenmez)
Key Algorithm	Anahtar üretiminde	Yeni anahtar profilin o anki algoritmasıyla	Anahtar üretiminde
Extended Key Usage	Sertifikaya yazılır (boşsa Server Authentication)	Yeniden yazılır	Sertifikaya yazılır; Client Authentication profilde yoksa kendiliğinden eklenir
SAN Template	SAN listesi boş bırakıldığında {cn} yerine CN yazılarak uygulanır	Uygulanmaz; üretim kaydındaki SAN listesi korunur	Uygulanmaz

Operasyonel En İyi Uygulamalar

• Kullanım alanına göre ayrı profil. Sunucu ve istemci sertifikaları için ayrı profiller tanımlanmalı; Usage değeri sonradan değiştirildiğinde profil, önceki kullanım alanına ait ekranın seçicisinden kaybolur ve yalnızca yeni kullanım alanına ait ekranda listelenir.
• EKU kullanım alanıyla uyumlu olmalı. TLS Server profilinde Server Authentication, Client / mTLS profilinde Client Authentication seçilmelidir; form bu uyumu zorlamaz.
• Yenileme eşiği süreye göre. Kısa ömürlü sertifikalarda (90 gün ve altı) eşik süresi toplam sürenin üçte birini aşmamalı; eşik süreden büyükse sertifika her kontrolde (günde iki kez) yeniden üretilir.
• Silmeden önce üretim kayıtları. Profil, onunla üretilmiş sertifikalar durduğu sürece silinmemeli; silinen profile bağlı sertifikaların otomatik yenilemesi başarısız olur. Kullanım, Issued Certificates (Internal PKI) sekmesindeki Certificate Profile sütunundan izlenir.
• SAN şablonunda yalnızca {cn}. Şablonda virgülle ayrılmış birden fazla ad yazılabilir; yalnızca {cn} yer tutucusu değiştirilir.

Nasıl Eklenir?

Yeni bir Certificate Profile, TR7 web yönetim arayüzü üzerinden aşağıdaki adımlarla eklenir:

1. Sol altta bulunan TR7 logosuna tıklanarak Configuration Menu açılır.
2. Certificates & PKI → Certificate Profiles → Add adımları takip edilir; form, liste ekranının içinde kapatılabilir bir Add sekmesi olarak açılır.
3. Profile bir ad girilir; Usage, Lifetime (days), Renew this many days before expiry, Extended Key Usage, SAN Template ve Key Algorithm alanları yapılandırılır (alanların ayrıntısı için Ekleme Formu bölümüne bakılabilir).
4. Add butonuna tıklanarak profil eklenir.

TIP

Hızlı arama ile sayfaya ulaşma

Menüde adım adım gezmek yerine, ekranın sol alt köşesindeki arama çubuğu kullanılarak ilgili sayfaya doğrudan ulaşılır. Arama çubuğu Windows'ta Alt + T, macOS'ta Opt + T kısayolu ile açılır; ardından aranan özelliğin adının yazılması yeterlidir.

TLS Server profilleri, sertifika formundaki Certificate Profile alanının yanındaki ekleme simgesiyle sayfadan ayrılmadan da tanımlanabilir (bkz. Kullanım Yerleri).

Certificate Profiles Listeleme Ekranı

Certificates & PKI → Certificate Profiles yolu izlenerek TR7 cihazı üzerinde ekli olan tüm sertifika profillerinin listesine ulaşılır. Bu ekran üzerinden profil ekleme, düzenleme ve silme işlemleri yapılır.

Certificate Profiles Listeleme Formu

Tablo varsayılan olarak şu kolonlarla açılır:

Kolon	Açıklama
Profile Name	Profilin adı.
Usage	Profilin kullanım alanı: TLS Server ya da Client / mTLS.
Lifetime (days)	Üretilen sertifikanın geçerlilik süresi, 365 days biçiminde.
Key Algorithm	Üretilecek anahtarın algoritması: RSA 2048, RSA 3072, RSA 4096, ECDSA P-256, ECDSA P-384.
Extended Key Usage	Sertifikaya yazılacak EKU değerleri virgülle: Server Authentication, Client Authentication; boşsa -.

Varsayılan olarak gizlenen kolon bulunmaz; kolon seçicisinde bu beş kolon yer alır. Renew this many days before expiry ve SAN Template değerleri tabloda gösterilmez, yalnızca önizlemede listelenir. Tablo açılışta sıralanmamıştır; bir kolon başlığına tıklandığında önce azalan, sonra artan sıralama uygulanır, üçüncü tıklamada sıralama kalkar.

Araç çubuğundaki öğeler soldan sağa aşağıdaki sırayla yer alır; son iki öğe (Page Information ve Page Size) tablonun altındaki bilgi şeridinde bulunur.

Columns

Tabloda hangi kolonların gösterileceği seçilir; beş kolon da varsayılan olarak açıktır. Aynı panelde kolonlar sürüklenerek yeniden sıralanır ve kolon başına hizalama seçilir; Fit rows to the page butonuyla satır yüksekliği sayfaya sığdırılır, Reset butonuyla kolon düzeni varsayılana alınır. Elle genişletilmiş bir kolonun yanındaki genişlik rozetine tıklandığında kolon otomatik genişliğe döner. Düzen kullanıcı bazında saklanır.

Filter

Filter butonu, listede gösterilen profilleri belirli kriterlere göre süzmek için kullanılır; buton etkin filtre sayısını rozetle gösterir. Şeritte üç kart bulunur: Usage, Key Algorithm ve Used in. Kartlarda listede görülen değerler satır sayılarıyla listelenir ve birden fazla değer birlikte seçilebilir; seçimler şeridin üstünde kapatılabilir etiketler olarak görüntülenir.

Used in kartı kaydın bir vService'e bağlı olup olmadığını saydığından bu ekranda ayrım üretmez ve tüm profiller Unused Entries altında listelenir. Bir profilin hangi sertifikalarda kullanıldığı Issued Certificates (Internal PKI) sekmesindeki Certificate Profile kolonundan izlenir.

Export

Export butonuna tıklanarak tablo Excel, CSV veya PDF olarak dışa aktarılır. Açılan pencerede Filename, Format ve Data Source ile dışa aktarılacak Columns belirlenir; kalan alanlar biçime göre görüntülenir: CSV'de CSV Separator, Excel'de Excel Sheet Name, PDF'te Page Orientation ve Page Size.

Add

Add butonuna tıklanarak yeni bir profil oluşturma formu Add sekmesinde açılır.

Delete

Bir veya birden fazla profil seçilip Delete butonuna tıklandığında ilgili profiller silinir. Silmeden önce "Are you sure that you want to delete certificate profile object?" (çoklu seçimde "Are you sure you want to delete N certificate profile objects?") onayı istenir.

WARNING

Kullanımda olan bir profil de silinebilir ve onay penceresi kullanım yerlerini göstermez. Profille üretilmiş sertifikalar ve üretim kayıtları silinmez, sunulmaya devam eder; ancak bu sertifikaların otomatik yenilemesi yapılamaz: profil okunamadığından yenileme eşiği olarak yerleşik 30 gün kullanılır ve kalan süresi 30 günün altına inen her kayıt için her kontrolde (07:00, 22:00 ve açılıştan 5 dakika sonra) User Logs ekranına Internal CA certificate could not be renewed. Common name: <CN>. Reason: profileMissing kaydı düşer. Sertifikanın süresi dolmadan başka bir profille yeniden üretilmesi gerekir.

Dahili CA'nın yeniden anahtarlanması (rekey) sırasında bu profile bağlı bir sertifikaya gelindiğinde işlem tümüyle reddedilir; planlama yazma öncesinde yapıldığından CA'nın kendisi dâhil hiçbir kayıt değiştirilmez. Silme işlemi kullanıcı işlem kaydına yazılır.

Edit

Edit butonuna tıklanarak seçili profilin düzenleme formu Edit sekmesinde açılır. Buton yalnızca tek bir profil seçildiğinde etkinleşir.

Düzenleme formu ekleme formuyla aynıdır; sekmenin ve formun butonunun adı Edit olur ve ad dâhil bütün alanlar değiştirilebilir. Değişiklik onay istemeden kaydedilir. Yeni değerler daha önce üretilmiş sertifikaları değiştirmez; sonraki üretimlerde, bu profille üretilmiş sunucu sertifikalarının otomatik yenilemelerinde ve dahili CA'nın yeniden anahtarlanmasında yeniden kesilen sertifikalarda uygulanır. SAN Template değişikliği yalnızca yeni üretimlerde etkilidir; yenilemede üretim kaydındaki SAN listesi korunur.

Search

Tablodaki tüm bilgilerde arama yapmak için kullanılır.

RegExp Search

Tabloda bulunan tüm bilgilerde düzenli ifade (RegExp) ile arama yapmak için kullanılır.

Column Based Search

Tabloda bulunan bilgilerde sütun bazlı arama yapmak için kullanılır; her kutunun yanında sonucu tersine çeviren Negate anahtarı ve kendi RegExp seçeneği bulunur.

Usage Filter

Profillerin hangi vService'lere bağlı olduğunu filtrelemek için kullanılır. Bu koleksiyondaki profiller vService'lere doğrudan bağlanmadığından seçicide yalnızca Unused Entries seçeneği bulunur ve kendiliğinden seçilir; liste, hiçbir tanımda kullanılmayan kayıtlarla sınırlanır. Filtre etkinken arama kutusunun yerini seçici alır; simgeye yeniden tıklandığında arama kutusu geri döner.

Page Information

Tanımlı toplam profil sayısı ile listede görüntülenen profil sayısına ait bilgiler yer alır: Showing N-M of T records ve seçili profil sayısı (N selected, seçim yokken Nothing selected). Filtre şeridinde seçim yapılmışsa aynı satıra uygulanan filtre sayısı ile gösterilen/toplam satır bilgisi eklenir.

Page Size

Sayfada görüntülenecek maksimum profil sayısı seçilir. Varsayılan 20; seçenekler 5, 10, 20, 50, 100, 200, 500 ve All.

Sağ Tık Menüsü

Bir satıra sağ tıklandığında, başlığında profilin adı bulunan bir menü açılır. Menüdeki iki işlem de yalnızca sağ tıklanan profile uygulanır; listede yapılmış seçim menüyü etkilemez.

İşlem	Ne yapar
Edit	Profilin düzenleme formunu Edit sekmesinde açar; araç çubuğundaki Edit butonunun açtığı formun aynısıdır.
Delete	Sağ tıklanan profili siler; araç çubuğundaki silme ile aynı onay sorusu görüntülenir.

Seçilen Profilin Önizlemesi

Listede bir satıra tıklandığında ekranın sağında profilin önizlemesi açılır; seçili satıra yeniden tıklandığında panel kapanır. Başlıkta profil simgesi, profilin adı ve Certificate profile alt başlığı, sağ üstte ise tek bir işlem bulunur.

Seçilen Profilin Önizlemesi

İşlem	Ne yapar
Edit	Profilin düzenleme formunu Edit sekmesinde açar.

Panelde iki sekme bulunur:

Details

Profilin ayarlarını satır satır listeler (aşağıdaki tablo).

Log

Profil üzerindeki kullanıcı işlemlerini (ekleme, düzenleme, silme) zaman çizelgesi olarak listeler.

Profili kullanan tanımları gösteren bir sekme bu koleksiyonda bulunmaz.

Details sekmesindeki satırlar sırasıyla aşağıdaki gibidir:

Satır	Açıklama	Görünme koşulu
Profile Name	Profilin adı.	Her zaman
Usage	TLS Server / Client / mTLS.	Her zaman
Lifetime (days)	365 days biçiminde süre.	Her zaman
Renew this many days before expiry	30 days biçiminde eşik (0 days = yenileme kapalı).	Değer tanımlıysa
Key Algorithm	Anahtar algoritması.	Her zaman
Extended Key Usage	EKU değerleri virgülle.	En az bir değer varsa
SAN Template	Şablon metni.	Doluysa

Profil Ekleme Formu

Certificates & PKI → Certificate Profiles → Add adımları takip edilerek TR7 cihazı üzerine yeni bir sertifika profili eklenir.

Certificate Profiles Profil Ekleme Formu

INFO

Profile Name Zorunlu

Profilin adı girilir. Ad; listede, sertifika formlarındaki profil seçiminde, üretim kayıtlarında ve loglarda profili tanımlar ve cihazda benzersiz olmalıdır; aynı ad girildiğinde form Name is used uyarısı verir.

INFO

Usage Varsayılan: TLS Server

Profilin kullanım alanı:

• TLS Server: vService'lerde sunulacak sunucu sertifikaları; profil yalnızca SSL/TLS Certificates ekranındaki Internal CA türünün Certificate Profile seçicisinde listelenir ve yalnızca sunucu kullanımlı dahili CA'larla üretim yapılabilir.
• Client / mTLS: istemci kimlikleri; profil yalnızca Client Certificates ekranındaki profil seçicisinde listelenir ve sunucu kullanımlı bir CA ile üretim yapılamaz.

INFO

Lifetime (days) Varsayılan: 365

Üretilen sertifikanın geçerlilik süresi (gün); 1 ile 3650 arasında tam sayı.

INFO

Renew this many days before expiry Varsayılan: 30

Bu profille üretilmiş sunucu sertifikalarının bitişten kaç gün önce kendiliğinden yeniden üretileceği; 0 ile 364 arasında tam sayı. 0 otomatik yenilemeyi kapatır. Yenileme, SSL/TLS Certificates ekranında anlatılan kontrolde (07:00, 22:00 ve açılıştan 5 dakika sonra) yapılır; sertifika profilin o anki değerleriyle yeni anahtar ve seri numarasıyla üretilir, sertifika kaydının kimliği ve vService atamaları değişmez, üretim kaydı yeni satırla değiştirilir ve eski satır Superseded olur. İstemci sertifikaları bu eşikten etkilenmez.

INFO

Extended Key Usage Varsayılan: Server Authentication

Sertifikaya yazılacak genişletilmiş anahtar kullanımı değerleri; Server Authentication ve/veya Client Authentication seçilir, en az bir değer zorunludur. İstemci sertifikası üretiminde Client Authentication profilde seçili olmasa da sertifikaya eklenir.

INFO

SAN Template

Sunucu sertifikası üretiminde formda ek alan adı (SAN) girilmediğinde kullanılacak şablon; en fazla 256 karakter. Virgülle ayrılmış birden fazla ad yazılabilir ve {cn} yer tutucusu sertifikanın CN değeriyle değiştirilir (örneğin {cn},www.{cn}). Formda SAN girildiğinde şablon kullanılmaz; CN her durumda SAN listesine eklenir. İstemci sertifikası üretiminde ve otomatik yenilemede şablon uygulanmaz.

Alanın yer tutucusunda {deviceId}.vpn.tr7 örneği görüntülenir; üretimde yalnızca {cn} çözüldüğünden başka bir yer tutucu şablona yazıldığında olduğu gibi sertifikaya geçer.

INFO

Key Algorithm Varsayılan: RSA 2048

Sertifika için üretilecek anahtarın algoritması: RSA 2048, RSA 3072, RSA 4096, ECDSA P-256 ya da ECDSA P-384.

INFO

Add

Add butonuna tıklanarak profil ekleme işlemi tamamlanır. Formda doğrulanmamış bir alan bulunduğu sürece buton pasif kalır.

Çalışma Mekanizması

INFO

• Üretimde okunur, kopyalanmaz. Profil değerleri sertifika kesilirken okunur; profil kimliği yalnızca Issued Certificates (Internal PKI) sekmesindeki üretim kaydında tutulur, sertifika kaydında yer almaz. Geçerlilik süresi tanımsızsa 365 gün, algoritma tanınmıyorsa RSA 2048, EKU boşsa Server Authentication uygulanır.
• Kullanım alanı denetimi. Sunucu sertifikası üretiminde profil ile CA çift yönlü denetlenir: sunucu profili istemci kullanımlı CA'dan, istemci profili sunucu kullanımlı CA'dan imzalatılamaz. İstemci sertifikası üretiminde yalnızca CA denetlenir ve sunucu kullanımlı bir CA reddedilir; profilin kullanım alanı denetlenmez. Sertifika formundaki CA seçicisi ayrıca yalnızca Internal Issuing CA türündeki, kullanım alanı uyan ve hem sertifika hem anahtar içeriği bulunan CA'ları listelediğinden bu ayrım yalnızca API üzerinden üretimde görünür.
• SAN çözümü. Formda girilen SAN değerleri şablonun önüne geçer; şablon yalnızca liste boşken uygulanır ve {cn} değiştirilir. CN listede yoksa başa eklenir.
• Otomatik yenileme. Her gün 07:00 ve 22:00'de ve cihaz açılışından 5 dakika sonra, bu profille üretilmiş sunucu sertifikalarının kalan süresi Renew this many days before expiry eşiğiyle karşılaştırılır; eşiğin altına inenler profilin güncel değerleriyle yeniden üretilir. Başarılı yenilemeler de başarısızlıklar da User Logs ekranına yazılır ve kayıtlar sistem kullanıcısı adına düşer; profili silinmiş kayıtlar yenilenemez. Cluster'da yalnızca sertifikayı üreten cihaz yenileme yapar.
• İstemci sertifikaları. Profilin süre, algoritma ve EKU değerleri uygulanır; Client Authentication her durumda eklenir. SAN listesi yalnızca formda girilen e-posta ve Windows oturum adlarından oluşur, CN bu listeye eklenmez. SAN şablonu ve yenileme eşiği istemci sertifikalarında kullanılmaz.
• Cluster. Profiller LB yapılandırmasıyla birlikte cihazlar arasında eşitlenir.
• Loglar. Ekleme, düzenleme ve silme User Logs ekranında certificate profile nesnesi olarak izlenir.

Kapsam ve Sınırlar

INFO

• Yetki. Ekran certificate yetki alanına bağlıdır; yetkisi olmayan kullanıcıda sayfa yerine You don't have access to this page kartı görüntülenir.
• Ad benzersizdir. Aynı adı taşıyan ikinci bir profil kaydedilmez.
• Değer aralıkları. Geçerlilik 1–3650 gün ve yenileme eşiği 0–364 gün hem formda hem sunucu şemasında zorlanır; SAN şablonunun 256 karakter sınırı ile en az bir EKU değeri koşulu yalnızca form doğrulamasıdır.
• Kullanım sayımı yoktur. Used in kartı ve önizleme sekmesi bu koleksiyonda kullanım göstermez; onay penceresi silmeden önce kullanım yerlerini listelemez.
• Yalnızca {cn} çözülür. Şablondaki başka yer tutucular olduğu gibi kalır.
• Yenileme yalnızca sunucu sertifikalarında. İstemci sertifikaları için üretim kaydı tutulmaz; yenileme eşiği ve SAN şablonu bu sertifikalarda etkisizdir.

Kullanım Yerleri

SSL/TLS Certificate Üretimi

SSL/TLS Certificates ekranında Type alanında Internal CA seçildiğinde Certificate Profile alanında yalnızca TLS Server kullanımlı profiller listelenir; alanın yanındaki ekleme simgesiyle yeni profil tanımlanabilir ve sunucu kullanımlıysa seçilir. Üretilen sertifika, kullanılan profili Issued Certificates (Internal PKI) sekmesindeki Certificate Profile sütununda gösterir.

Client Certificate Üretimi

Client Certificates ekranında dahili CA'dan üretim seçildiğinde profil seçicisinde yalnızca Client / mTLS kullanımlı profiller listelenir.