Preguntas frecuentes sobre Oracle Cloud Infrastructure Certificates

Los certificados SSL/TLS permiten a los exploradores web identificar y establecer conexiones de red cifradas a sitios web mediante el protocolo Secure Sockets Layer/Transport Layer Security (SSL/TLS). Los certificados se utilizan en un sistema criptográfico conocido como infraestructura de clave pública (PKI). La PKI de un certificado permite a una parte establecer la identidad de otra parte utilizando certificados y confiando en un tercero conocido como CA.

Una CA suele existir dentro de una estructura jerárquica que contiene varias CA subordinadas con relaciones principal-secundario claramente definidas. Las CA principales certifican las CA secundarias o subordinadas que crean una cadena de certificados. La CA raíz se encuentra en la parte superior de la cadena y normalmente está autofirmada.

Secure Sockets Layer (SSL) y Transport Layer Security (TLS) son protocolos criptográficos que proporcionan seguridad de comunicación a través de una red informática. TLS es el sucesor de SSL, ambos utilizando certificados X.509 para autenticar el servidor. Ambos protocolos negocian una clave simétrica entre el cliente y el servidor que se utiliza para cifrar los datos que fluyen entre las dos entidades.

HTTPS significa HTTP a través de SSL/TLS, una forma segura de HTTP soportada por los principales exploradores y servidores. Todas las solicitudes y respuestas HTTP se cifran antes de que se envíen a través de una red. HTTPS combina el protocolo HTTP con técnicas criptográficas simétricas, asimétricas y basadas en certificados X.509. HTTPS inserta una capa de seguridad criptográfica por debajo de la capa de aplicación HTTP y por encima de la capa de transporte TCP en el modelo de interconexión de sistemas abiertos (OSI). Esta capa de seguridad utiliza el protocolo Secure Sockets Layer (SSL) o Transport Layer Security (TLS).

Las transacciones HTTPS requieren certificados de servidor para autenticar un servidor. Un certificado de servidor es una estructura de datos X.509 v3 que enlaza la clave pública del certificado al asunto del certificado. Un certificado SSL/TLS está firmado por una CA y contiene el nombre del servidor, el período de validez, la clave pública, el algoritmo de firma, etc.

Los certificados de OCI crean automáticamente un certificado, lo despliega en recursos (como un equilibrador de carga) y renueva el certificado antes de que caduque. OCI Certificates elimina la necesidad de un proceso manual de gestión de certificados.

Los certificados de OCI crean un certificado privado para los roles de Cliente/Servidor, Cliente, Servidor o Firma de código. Cualquier certificado público o privado se puede cargar en el gestor de certificados.

Si asigna un certificado al equilibrador de carga, OCI Certificates alerta al servicio de que un certificado está listo para instalarse. El equilibrador de carga recuperará el certificado de los certificados de OCI, instalará el certificado y aplicará los cambios. Los certificados de OCI supervisarán y renovarán el certificado según las reglas de renovación definidas por la CA. Cuando es el momento de la renovación, el proceso se repite.

La creación de CA y certificados de hoja es un servicio gratuito en OCI.

El equilibrador de carga y el gateway de API son los primeros servicios integrados con el servicio OCI Certificates.

Si es cliente de nivel gratuito, puede crear hasta cinco CA. Los arrendamientos pagados pueden crear hasta 100 CA.

Si es cliente de nivel gratuito, puede crear hasta 150 certificados. Los arrendamientos pagados pueden crear hasta 5 000 certificados en su arrendamiento.

Un paquete de CA es un archivo que contiene certificados raíz e intermedios. El certificado de entidad final junto con un paquete de CA constituye la cadena de certificados.

Existen tres formas diferentes de gestionar los certificados.

1. 1. Gestionado internamente: este es el sistema totalmente automatizado en el que OCI Certificates crea, despliega, supervisa y renueva el certificado.
2. 2. Gestionado externamente: si su política es tener la clave privada en su sitio, puede cargar una solicitud de firma de certificado (CSR) en certificados de OCI que, a continuación, firmará el certificado.
3. 3. Traiga su propio certificado: si ya tiene un certificado, puede cargarlo en certificados de OCI y desplegarlo y supervisarlo. Se le avisará cuando llegue el momento de renovar el certificado.

Para la CA, no puede descargar la clave privada, ya que está almacenada en el módulo de seguridad de hardware (HSM). Para un certificado de hoja y por motivos de seguridad, la clave privada solo está disponible para su descarga a través de la API y la CLI.