Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Private Key'leri ayrı yönetebilir miyim (Private Key Library)?
Kısa cevap
Evet. Certificates & PKI → Private Key Library ekranında anahtar üretilebilir (RSA 2048/3072/4096, ECDSA P-256/P-384), PEM biçimindeki anahtar içe aktarılabilir ya da yüklü bir sertifikanın anahtarı sertifika listesindeki Take the key into the library işlemiyle kütüphaneye alınabilir (Private Key Library). Kütüphanedeki anahtar, CSR (External CA) sekmesinde yeni istek açılırken Use a key from the library ile seçilir; böylece yeniden imzalatılan sertifikalar aynı genel anahtarı taşır ve anahtarı sabitleyen (pinning) istemciler çalışmaya devam eder. Anahtar içeriği hiçbir ekranda gösterilmez ve ham hâlde dışa aktarılamaz.
Sorun: Sertifika Yenilenince Genel Anahtar Değişiyor
Yeni bir imzalama isteğiyle alınan her sertifika yeni bir anahtar taşır. Genel anahtarı sabitleyen (pinning) mobil uygulamalar ve API istemcileri, yenilemeden sonra bu yeni anahtarı tanımaz ve bağlantıyı reddeder. Anahtarın sertifikadan bağımsız saklanması ve sonraki isteklerde yeniden kullanılabilmesi gerekir.
Çözüm: Üç Yöntem
Üç yöntem de kütüphaneye anahtar ekler; fark, anahtarın nereden geldiğidir. Eklenen anahtar sonraki CSR isteklerinde seçilir (TR7 üzerinde CSR oluşturabilir miyim?).
| Durumunuz | Uygun yöntem |
|---|---|
| Yeni bir anahtar TR7'de üretilecek | Yöntem 1: Generate a new key |
| Elimdeki bir anahtar kütüphaneye konacak | Yöntem 2: Import an existing key |
| Yüklü bir sertifikanın anahtarı sonraki yenilemelerde de kullanılacak | Yöntem 3: Take the key into the library |
Yöntem 1: Generate a New Key Önerilen
- Nasıl çalışır TR7 seçilen algoritmada yeni bir özel anahtar üretir ve kütüphanede saklar; anahtar cihazdan çıkmaz.
- Nerede açılırCertificates & PKI → Private Key Library → Add → How to Add = Generate a new key
- Gereksinim Yok
- Kapsam CSR (External CA) istekleri
Adım adım yapılandırma
1
Adım 1 Ekleme formunu aç
Sol alttaki TR7 logosuyla Configuration Menu açılır; Certificates & PKI → Private Key Library ekranında Add tıklanır (nasıl eklenir).
2
Adım 2 Adı ve yöntemi seç
Key Name girilir; How to Add alanında varsayılan Generate a new key bırakılır.
3
Adım 3 Algoritmayı seç
Key Algorithm alanında RSA 2048 (varsayılan), RSA 3072, RSA 4096, ECDSA P-256 ya da ECDSA P-384 seçilir.
4
Adım 4 Kaydet
Add tıklanır; anahtar listeye Generated Here kaynağıyla eklenir. Cluster kurulumunda varsayılan auto-sync ile kayıt eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.
Doğrulama
1KütüphanePrivate Key Library listesi
Yeni anahtar listede algoritması, kaynağı ve genel anahtar parmak iziyle görünür.
Beklenen
Key Algorithm · Source: Generated Here · Public Key FingerprintYöntem 2: Import an Existing Key
- Nasıl çalışır Elde bulunan PEM anahtar kütüphaneye aktarılır; kayıttan sonra içeriği gösterilmez.
- Nerede açılırCertificates & PKI → Private Key Library → Add → How to Add = Import an existing key
- Gereksinim PEM biçiminde özel anahtar
- Kapsam CSR (External CA) istekleri
Adım adım yapılandırma
1
Adım 1 Ekleme formunu aç
Certificates & PKI → Private Key Library ekranında Add tıklanır.
2
Adım 2 Adı ve yöntemi seç
Key Name girilir; How to Add alanında Import an existing key seçilir.
3
Adım 3 Anahtarı yapıştır
Private Key (PEM) alanına anahtar yapıştırılır; anahtar parolalıysa parola Key Passphrase (if encrypted) alanına girilir.
4
Adım 4 Kaydet
Add tıklanır; anahtar listeye Imported kaynağıyla eklenir.
Doğrulama
1Parmak iziPrivate Key Library listesi
Listede Public Key Fingerprint hücresinin üzerine gelinerek tam değer okunur; anahtardan hesaplanan değerle karşılaştırılır.
Komut: openssl pkey -in key.pem -pubout -outform DER | openssl dgst -sha256
Beklenen
İki SHA-256 değeri aynıYöntem 3: Take the Key into the Library
- Nasıl çalışır Yüklü bir sertifikanın anahtarı kütüphaneye taşınır ve sertifika kaydı anahtara oradan atıf verir; sunulan sertifika değişmez.
- Nerede açılırCertificates & PKI → SSL/TLS Certificates → sertifikaya sağ tık → Take the key into the library
- Gereksinim Anahtarını kendi içinde taşıyan, henüz kütüphaneye bağlı olmayan bir sertifika kaydı
- Kapsam Sonraki CSR (External CA) istekleri
Adım adım yapılandırma
1
Adım 1 Sertifika listesini aç
Certificates & PKI → SSL/TLS Certificates ekranı açılır.
2
Adım 2 İşlemi seç
Sertifika satırına sağ tıklanır ve menüden Take the key into the library seçilir (sağ tık menüsü). Seçenek yalnızca anahtarı kaydın içinde duran sertifikalarda görünür.
3
Adım 3 Onayla
Açılan onay penceresi kabul edilir; anahtar <sertifika adı> — key adıyla kütüphaneye eklenir (ad kullanımdaysa sonuna (2), (3) … eklenir) ve listede Taken from a Certificate kaynağıyla görünür.
Doğrulama
1Kütüphane ve sertifikaTR7 tarafı
Private Key Library listesinde yeni kaydın Taken from sütunu kaynak sertifikayı gösterir; sertifikanın sağ tık menüsünde Take the key into the library artık görünmez.
Beklenen
Source: Taken from a CertificatevService'lerde sunulan sertifika değişmez;
openssl s_client çıktısı işlemden önceki ile aynıdır.Sık Yapılan Hatalar
- Kütüphane anahtarını Manual ya da PFX formunda aramak. Kütüphane anahtarı yalnızca CSR (External CA) sekmesinde yeni istek açılırken Private Key alanında Use a key from the library ile seçilir (kapsam ve sınırlar).
- Anahtarı dışa aktarmayı beklemek. Kütüphanedeki anahtar ham hâlde cihazdan çıkmaz; yalnızca sertifikasıyla birlikte, sertifikada Allow Download açıksa PFX içinde indirilir. Düzenleme formunda yalnızca Key Name değiştirilebilir.
- Kullanımdaki anahtarı silmek. Silme onayı kullanım yerlerini göstermez; anahtara bağlı sertifikalar anahtarsız kalır ve vService'te sunulamaz. Silmeden önce önizlemedeki Used in sekmesi kontrol edilir (Delete).
- Mevcut sertifikanın yeniden imzalatılması için anahtarı kütüphaneye almak gerektiğini düşünmek. Aynı kayıt üzerinden yeniden imzalatmada (CSR sekmesindeki Re-issue ya da sertifika listesinin sağ tık menüsündeki Upload a re-signed certificate) anahtar zaten korunur; kütüphane, aynı anahtarla yeni bir istek açılacağı zaman gerekir.
Dokümantasyonda nasıl yapılır
