lb ca

lb ca komutu iki ayrı işi görür. Birincisi güven çıpası eklemek: karşı tarafın sertifikasını doğrularken güvenilecek bir CA sertifikasını kaydetmek. İkincisi dahili PKI CA oluşturmak: TR7'nin kendi sertifika üretebildiği, anahtarı cihazda duran bir otorite kurmak. Panel karşılığı Certificate Authorities (CA) ekranıdır.

İkisi ayrı alt komutlarla yapılır: add yalnız sertifika metnini kaydeder, create anahtar üretir ya da içe aktarır.

Komut Özeti

TR7 WEB-CLI · lb ca

# komuttan sonra Tab

admin@TR7LBWAF01> lb ca

add create delete list show update

 

admin@TR7LBWAF01> lb ca list # hepsini listele

admin@TR7LBWAF01> lb ca show <kimlik> # birini göster

admin@TR7LBWAF01> lb ca add name <ad> … # güven çıpası ekle

admin@TR7LBWAF01> lb ca create name <ad> mode <mod> caType <tür> # dahili CA

admin@TR7LBWAF01> lb ca update id <kimlik> … # değiştir

admin@TR7LBWAF01> lb ca delete <kimlik> # sil

admin@TR7LBWAF01>  

İki Kayıt Türü

	lb ca add	lb ca create
Ne yapar	Var olan bir CA sertifikasını güvenilenler arasına ekler	Anahtarı cihazda duran bir CA oluşturur
Anahtar	Yok; yalnız sertifika metni saklanır	Üretilir ya da içe aktarılır
Sertifika üretebilir mi	Hayır	Evet
Nerede kullanılır	Karşı tarafın sertifikasını doğrulamada	Kendi sertifikalarını imzalamada ve doğrulamada
Zorunlu alanlar	name	name · mode · caType

Her iki alt komut da aynı koleksiyona yazar; list ve show ikisini birlikte gösterir.

lb ca add — Güven Çıpası

Adım 1 Adı yaz

lb ca add name kurum-kok-ca

Adım 2 Sertifika metnini ver

--content "-----BEGIN CERTIFICATE----- …"

Alan	Durum	Ne yapar	Arkasına ne yazılır
name	Zorunlu	Kayda ad verir; koleksiyonda benzersizdir	Kaydın adı
--content	İsteğe bağlı	Güvenilecek CA sertifikasını saklar	PEM metni. Satır sonu ve boşluk içerdiği için çift tırnak içinde yazılır

Sertifikadan türeyen alanlar yazılmaz

Aşağıdaki üç alan tamamlama listesinde görünür ama şemada salt okunur tanımlıdır: değerleri sertifika çözümlenirken sunucu tarafından yazılır, elle yazmak beklenen bir kullanım değildir.

Alan	Ne yapar	Arkasına ne yazılır
--certDnsNames.N	Sertifikanın kapsadığı DNS adlarını tutar	Sunucu doldurur; elle yazılmaz
--infoArr.N	Sertifikadan çözümlenen ek anahtar ayrıntılarını tutar	Sunucu doldurur; elle yazılmaz
--certEku.N	Sertifikanın genişletilmiş anahtar kullanımını tutar	Sunucu doldurur; elle yazılmaz

lb ca create — Dahili PKI CA

Adım 1 Adı yaz

lb ca create name kurum-issuing-ca

Adım 2 Oluşturma modunu seç

mode generate · enroll · import

Adım 3 CA türünü seç

caType root ya da issuing

Adım 4 Türe ve moda göre alanları ekle

Ara CA'da kullanım alanı, içe aktarımda PEM metinleri istenir.

Zorunlu Alanlar

Sıra	Alan	Durum	Değer
1	name	Zorunlu	CA'nın adı
2	mode	Zorunlu	generate · enroll · import (varsayılan generate)
3	caType	Zorunlu	root · issuing (varsayılan root)

Oluşturma Modları

mode	Panel karşılığı	Ne yapar
generate	Generate (self-managed hierarchy)	Anahtarı ve sertifikayı cihazda üretir; kendi yönettiğiniz bir hiyerarşi kurar
enroll	Enroll under an external CA (CSR)	Anahtarı ve CA nitelikli bir sertifika isteğini (CSR) cihazda üretir; istek dış bir üst CA'ya imzalatılır. Kayıt, imzalı sertifika arayüzde yapıştırıldığında tamamlanır
import	Import existing pair	Var olan bir CA sertifikası ve anahtar çiftini içe aktarır

CA Türleri

caType	Panel karşılığı	Anlamı
root	Root CA	Zincirin tepesindeki, kendi kendini imzalayan otorite
issuing	Issuing CA	Bir üst CA'ya bağlı, sertifikaları asıl imzalayan ara otorite

Alanlar

Alan	Durum	Ne yapar	Arkasına ne yazılır
--usage	Koşullu	Ara CA'nın hangi tür sertifikaları imzalayacağını belirler	server sunucu sertifikaları (varsayılan) · client istemci sertifikaları. Yalnız caType issuing iken açılır ve ara CA'da verilmesi beklenir
--parentCaId	Koşullu	Ara CA'yı hangi üst CA'nın imzalayacağını seçer	Var olan bir CA kaydı. Yalnız caType issuing iken açılır; mode generate ile ara CA üretilirken verilmesi beklenir
--subjectCn	İsteğe bağlı	Sertifikanın konu adını belirler	Common Name değeri
--subjectO	İsteğe bağlı	Kurum adını yazar	Organization değeri
--subjectOu	İsteğe bağlı	Birim adını yazar	Organizational Unit değeri
--subjectC	İsteğe bağlı	Ülke kodunu yazar	İki harfli ülke kodu, örneğin TR
--keyAlgo	İsteğe bağlı	Üretilecek anahtarın algoritmasını seçer	rsa2048 · rsa3072 · rsa4096 (varsayılan) · ecP256 · ecP384
--lifetimeDays	İsteğe bağlı	Sertifikanın kaç gün geçerli olacağını belirler	Gün sayısı
--pathLen	İsteğe bağlı	Bu CA'nın altında kaç kademe daha CA olabileceğini sınırlar	Zincir derinliği
--certContent	Koşullu	İçe aktarılacak CA sertifikasını taşır	PEM metni; yalnız mode import iken açılır
--keyContent	Koşullu	İçe aktarılacak özel anahtarı taşır	PEM metni; yalnız mode import iken açılır. Kayıtta şifrelenerek saklanır
--keyPassphrase	Koşullu	İçe aktarılan anahtarın parolasını verir	Anahtarın parolası; yalnız mode import iken açılır

Örnekler

TR7 WEB-CLI · A) Güven çıpası ekleme

# karşı tarafın sertifikasını doğrulamak için güvenilen CA

admin@TR7LBWAF01> lb ca add name kurum-kok-ca --content "<pem-metni>"

admin@TR7LBWAF01>  

TR7 WEB-CLI · B) Kök CA üretme

admin@TR7LBWAF01> lb ca create name kurum-kok mode generate caType root \

--subjectCn "Kurum Root CA" --subjectO "Kurum" --subjectC TR \

--keyAlgo rsa4096 --lifetimeDays 3650 --pathLen 1

admin@TR7LBWAF01>  

TR7 WEB-CLI · C) Kök CA altına ara CA

# imzalamayı yapacak ara CA; üst CA ve kullanım alanı verilir

admin@TR7LBWAF01> lb ca create name kurum-issuing mode generate caType issuing \

--parentCaId <kök-ca> --usage server --subjectCn "Kurum Issuing CA" --lifetimeDays 1825

admin@TR7LBWAF01>  

TR7 WEB-CLI · D) Dış CA altına kaydolma ve içe aktarma

# anahtar ve CSR cihazda üretilir; imzalı sertifika sonra arayüzde yapıştırılır

admin@TR7LBWAF01> lb ca create name dis-imzali mode enroll caType issuing \

--usage client --subjectCn "Kurum Client CA"

 

# var olan bir CA çifti içe aktarılır

admin@TR7LBWAF01> lb ca create name eski-ca mode import caType root \

--certContent "<sertifika-pem>" --keyContent "<anahtar-pem>" --keyPassphrase <parola>

admin@TR7LBWAF01>  

Kullanım Yerleri

Oluşturulan kayıt, doğrulama isteyen alanlarda seçilir:

Nerede	Alan
Arka uç sertifikasının doğrulanması	lb backend ve lb backend-group → --sslVerifyCa
Sağlık denetiminde sunucu sertifikası	lb hc → --tlsVerifyCa
Ziyaretçi sertifikasının doğrulanması	lb ssl-security profilleri

Güncelleme ve Silme

TR7 WEB-CLI · güncelleme ve silme

# güncellemede yalnız ad ve sertifika metni değiştirilebilir

admin@TR7LBWAF01> lb ca update id <kimlik> --name yeni-ad

admin@TR7LBWAF01> lb ca update id <kimlik> --content "<yeni-pem>"

 

admin@TR7LBWAF01> lb ca delete <kimlik>

admin@TR7LBWAF01>  

Güncelleme komutunda yalnız --name, --content ve sertifikadan türeyen salt okunur alanlar listelenir. CA türü, kullanım alanı, üst CA ve anahtar bilgileri güncellemede bulunmaz: bunlar kayıt oluşturulurken belirlenir.

Bilinmesi Gerekenler

• add ile create aynı listeye yazar. İkisi de aynı koleksiyonda durur; list çıktısında güven çıpaları ile dahili CA'lar birlikte görünür.
• Ara CA tek başına kurulmaz. caType issuing seçildiğinde kullanım alanı belirtilir; mode generate ile üretiliyorsa üst CA da verilir.
• Kaydolma iki adımlıdır. mode enroll yalnız anahtarı ve sertifika isteğini üretir; kayıt, dış CA'nın imzaladığı sertifika arayüzde yapıştırılana kadar bekler.
• PEM metinleri tırnak ister. Sertifika ve anahtar metinleri satır sonu ve boşluk içerdiği için çift tırnak içinde yazılır.
• Anahtar şifrelenerek saklanır. İçe aktarılan özel anahtar kayıtta şifreli tutulur.