Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Root CA ile intermediate CA arasındaki fark nedir?
Kısa cevap
Root CA, certificate chain'in tepesindeki CA'dır: kendi sertifikasını kendisi imzalar ve istemcilerin trust store'unda bulunur. Intermediate (issuing) CA, root CA ya da başka bir intermediate CA tarafından imzalanır ve günlük kullanımdaki sunucu ve istemci sertifikalarını imzalar. Bu ayrım root key'i korur: root yalnızca intermediate CA'ları imzalamak için kullanılır, bir intermediate CA'nın key'i ele geçirilirse yalnızca o CA değiştirilir. TR7'nin internal PKI'si de iki kademelidir: Create Root CA ile root, Create Issuing CA ile bu root'un altında sertifika üreten issuing CA kurulur; sertifikaları yalnızca issuing CA imzalar.
TR7'de Nerede Kullanılır
| Nerede | Alan / etiket | Ne için |
|---|---|---|
| Certificates & PKI → Certificate Authorities (CA) → Add → Operation | Create Root CA, Create Issuing CA (Parent CA = bir internal root CA), Enroll under an external CA | İki kademeli internal CA kurma; issuing CA'yı kurumun mevcut root CA'sına imzalatma |
| Certificate Authorities (CA) listesi | Kind: Internal Root CA, Internal Issuing CA; CA Role: Root, Intermediate | CA'nın hiyerarşideki yeri |
| Create Issuing CA, Enroll under an external CA | Usage: Server certificates, Client certificates | Issuing CA'nın sunucu mu istemci sertifikası mı üreteceği |
| SSL/TLS Certificates → Internal CA | Issuing CA | Listede yalnızca sunucu sertifikası üreten issuing CA'lar bulunur |
| SSL/TLS Certificates → önizleme → Chain | Halka rolleri: Root CA, Intermediate CA, Certificate | Sertifikanın chain'indeki CA'ları görme |
Karşılaştırma
| Root CA | Intermediate (issuing) CA | |
|---|---|---|
| Sertifikasını kim imzalar | Kendisi (self-signed) | Üstündeki CA |
| Nerede bulunur | İstemcilerin trust store'unda | Sunucunun gönderdiği chain'de |
| Ne imzalar | Intermediate CA'ları | Sunucu ve istemci sertifikalarını |
| Key'in kullanımı | Seyrek; çoğu kurumda çevrim dışı tutulur | Sürekli |
| TR7'de | Create Root CA (varsayılan key RSA 4096, Lifetime (days) 3650) | Create Issuing CA ya da Enroll under an external CA |
Sık Karıştırılan Noktalar
- "Sunucu sertifikalarını doğrudan root CA imzalamalıdır." Root key'in sık kullanılması riski artırır; sertifikaları intermediate CA imzalar. TR7'de Internal CA türü sertifikalar yalnızca issuing CA ile üretilir.
- "Intermediate CA istemcilere dağıtılmalıdır." İstemcilere root dağıtılır; intermediate sertifikayı sunucu chain'in parçası olarak gönderir.
- "Kurumun kendi root CA'sı varsa TR7'de ayrı bir root kurmak gerekir." Enroll under an external CA ile TR7'de üretilen issuing CA'nın CSR'ı kurumun root CA'sına imzalatılır; bu durumda istemcilerin zaten güvendiği root kullanılmaya devam eder.
Dokümantasyonda nasıl yapılır
