Wie DevOps-Teams die PKI-Bereitstellung bei Bedarf mit Keyfactor Ansible und EJBCA

Nur wenige Dinge ändern sich schneller als die Technologie, und insbesondere DevOps befindet sich auf der Höhe der Zeit, was Innovation und Automatisierung angeht.

DevOps refers to tools and best practices that allow for more efficient software delivery. Growing out of the popular Agile methodology, DevOps focuses on using automation, standardization, and rapid iteration to streamline the software lifecycle. 

A crucial part of DevOps is public key infrastructure (PKI). To remain in compliance, keep sensitive information locked down, and maintain security, working environments need to be built on top of a robust PKI. 

PKI-Tools haben jedoch nicht mit dem Tempo der Entwicklung im DevOps-Bereich Schritt gehalten, was sowohl eine Herausforderung als auch eine Chance darstellt.  

Die Anwendungs- und Betriebsteams von heute müssen schnell agieren, auf jeder Plattform arbeiten und alles automatisieren. Entwickler können jedoch nicht schnell arbeiten oder agil sein, wenn sie ständig durch die archaischen, manuellen Sicherheitsprozesse bei der Verwendung herkömmlicher PKI-Tools aufgehalten werden.

This problem can’t be overstated. If developers are routinely working with PKI tools that make it impossible to meet tight deadlines, they will find faster, non-compliant ways of obtaining certificates. Put another way: automation isn’t optional when deploying and using PKI in DevOps. 

Das Team von Keyfactor hat dieses Thema kürzlich in einem Webinar aufgegriffen und die Tools und Best Practices erörtert, die DevOps-Teams zur Vereinfachung und Skalierung von PKI einsetzen können. 

Wie PKI in CI/CD-Umgebungen eingesetzt wird

Bei der Verwendung von PKI in Kontexten der kontinuierlichen Integration/kontinuierlichen Bereitstellung (CI/CD) dreht sich alles um Vertrauen. Wenn Sie Anwendungen entwickeln und bereitstellen, müssen Sie sich darauf verlassen können, dass die von Ihnen verwendete Infrastruktur und die von Ihnen bereitgestellte software vertrauenswürdig sind.

Mit PKI on Demand ist dies viel einfacher zu erreichen. Wie jeder andere On-Demand-Service bedeutet PKI on Demand, dass Sie die Ausstellung, den Entzug und die Verwaltung von Zertifikaten dynamisch skalieren können. Wenn Sie in fortschrittlichen, sich schnell verändernden Umgebungen arbeiten, die für moderne DevOps charakteristisch sind, könnte diese Flexibilität und Anpassungsfähigkeit nicht wichtiger sein. 

Um die Bedeutung von PKI on Demand zu verstehen, ist es hilfreich, sich die spezifischen Anwendungsfälle vor Augen zu führen, in denen PKI erforderlich sein könnte. Hier sind ein paar solcher Anwendungsfälle:

• Ausstellung von Gerätezertifizierungen für die 802.1x-Authentifizierung in einem Netzwerk
• WiFi certs for devices, such as in a factory or Internet of Things (IoT) application.
• Code signing or time stamping of code

Digitale Zertifikate sind das Rückgrat der PKI, so dass diese Art der Zertifikatsverwaltung absolut unerlässlich ist. Eine Möglichkeit zur schnellen und effizienten Handhabung der Gerätezertifizierung ist ein zentraler Bestandteil des sicheren Betriebs, aber Sie müssen auch in der Lage sein, zu zeigen, wie Geräte validiert und zertifiziert werden, um zu beweisen, dass Ihre Sicherheit den erforderlichen Standards entspricht. Dies gilt insbesondere, wenn Sie mit staatlichen Aufträgen oder geheimen Daten arbeiten wollen.

Die Bedeutung der Automatisierung bei DevOps

Wir haben eingangs festgestellt, dass Automatisierung bei der Verwaltung von PKI für DevOps nicht optional ist. DevOps und Automatisierung gehen Hand in Hand, denn zusammen schaffen sie zwei Dinge, die Teams brauchen: Geschwindigkeit und Konsistenz. 

Im Grunde bedeutet DevOps eine Abkehr von der statischen Konfiguration. Während in der Vergangenheit Prozesse wie die Code-Integration manuell durchgeführt und nur im Falle eines signifikanten Problems wieder aufgegriffen wurden, werden sie bei modernen DevOps in Skripten definiert. Wenn ein Prozess in einem Skript definiert ist, wird er automatisiert und wiederholbar, und das wiederum macht ihn zuverlässig (weil das Skript immer auf die gleiche Weise ausgeführt wird) und skalierbar (weil es immer möglich ist, die Rechenressourcen zu erhöhen, während eine Erhöhung der menschlichen Zeit viel schwieriger ist). Wenn Skripte richtig eingesetzt werden, sind sie modular und wiederverwendbar, was das Testen, Ändern und Warten Ihrer Codebasis erleichtert. 

Um jedoch die Umgebung zu sichern, in der diese Skripte geschrieben und ausgeführt werden, muss DevOps auf PKI zurückgreifen. Dies stellt einen erheblichen Engpass im DevOps-Workflow dar, da die vorhandene Suite von PKI-Tools manuell, langsam und konfigurationsintensiv ist.

Microsoft Certificate Authority (CA) is a great example. A CA is responsible for assigning digital certificates to devices, websites, people, and other entities. 

Microsoft CA hat erhebliche Nachteile, die sie für moderne DevOps-Umgebungen ungeeignet machen: Sie ist stark von der Microsoft-Infrastruktur abhängig, Teams müssen jedes Mal einen neuen Server bereitstellen, wenn sie eine neue CA benötigen, und wichtige Aufgaben wie die CA-Bereitstellung lassen sich nicht einfach automatisieren. Wie die meisten anderen angebotenen PKI-Lösungen kann sie nicht die Dinge ermöglichen, die DevOps braucht, um innovativ zu bleiben.

Companies today need a PKI infrastructure that can integrate smoothly with their current tooling while including basic functionality like automation. They often find that they’ve outgrown their PKI when they need a rich REST API, they want to use the Enrollment over Secure Transport (EST) or Certificate Management Protocol (CMP) for x.509 certification, or when they want to use a communications protocol like the Automated Certificate Management Environment (ACME). 

Ganz zu schweigen von den Schwierigkeiten, eine gruppenspezifische PKI zu Testzwecken schnell aufzusetzen oder alte PKIs anhand von Spezifikationen neu zu erstellen - beides aus der DevOps-Perspektive ziemlich einfache und routinemäßige Aufgaben. 

Nun stellt sich die Frage: Worauf sollten diese Teams bei einer PKI-Lösung achten?

PKI automatisieren

PKI for DevOps needs to be able to provision PKI on demand in a way that’s repeatable and scalable while not compromising the critical underlying processes that make PKI the bedrock for trust in software. 

Um DevOps in seiner jetzigen Form zu unterstützen, sollte eine PKI-Plattform so konzipiert sein, dass sie überall und in jeder gewünschten Form bereitgestellt werden kann - sei es als Cloud-basierter Dienst, als Docker- oder Kubernetes-Container oder als schlüsselfertige Anwendung hardware/software . Mit anderen Worten: Sie sollte zu dem passen, was Sie zu erreichen versuchen.

Darüber hinaus sollte sie dynamisch skalierbar sein. Konkret bedeutet dies, dass mehrere Zertifizierungsstellen auf einem einzigen Knoten eingerichtet, auf verschiedene Knoten aufgeteilt und für eine hohe Verfügbarkeit zu einem Cluster zusammengefasst werden können. All dies ist mit Microsoft CA nicht möglich.  

Und eine PKI-Plattform sollte sich in die bestehende Infrastruktur und die vorhandenen Werkzeuge einfügen. Sie muss die bereits erwähnten EST-, CMP- und ACME-Protokolle unterstützen. Wie jeder, der sich mit PKI beschäftigt hat, bestätigen kann, gibt es eine Vielzahl von Formaten und Anwendungsfällen, die berücksichtigt werden müssen. Außerdem müssen verschiedene Methoden für die Verbindung mit den Algorithmen und Hardware Sicherheitsmodulen (HSMs), die hinter der PKI stehen, unterstützt werden. 

Wenn sie diese Eigenschaften hat, kann Ihre PKI wie gewünscht automatisiert, flexibel, skalierbar und wiederholbar eingesetzt werden und passt in den aktuellen DevOps-Stack, den Sie bereits verwenden. So können Sie schnell vorankommen, ohne Kompromisse beim Vertrauen einzugehen.  

For many teams, the combination of EJBCA and Ansible is the solution that best meets their needs. By treating PKI as a set of microservices in CI/CD and DevOps, PKI deployment is fast, the configuration is consistent, and the infrastructure is scalable. 

To learn more about using DevOps tools and best practices to simplify and scale PKI and watch a demo of EJBCA and Ansible in action, check out our webinar “PKI On-Demand for DevOps with Ansible and EJBCA.”