SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

İleri

Kendi iç CA'mı TR7'ye nasıl tanıtırım? ​

Kısa cevap

İç CA'nın sertifikası Certificates & PKI → Certificate Authorities (CA) ekranında Add ile, Operation = Add a trusted CA certificate seçilerek eklenir. Bu güven kaydı sertifika zincirinde (Use Profiles), istemci sertifikası doğrulamasında (mTLS profilinde CA Certificate Files), Kurum Servisi sertifika doğrulamasında ve health check'te (Verification CA Profile) seçilir (kullanım yerleri). TR7'nin iç CA adına sertifika da üretmesi isteniyorsa CA anahtarıyla içe aktarılır (Import Existing CA) ya da TR7'de üretilen bir alt CA kurumun CA'sına imzalatılır (Enroll under an external CA).

Sorun: TR7 Kurumun Kendi CA'sını Tanımıyor ​

Kurumsal ortamlarda iç sunucuların ve kullanıcıların sertifikaları kurumun kendi CA'sından gelir. TR7'nin bu sertifikalara güvenebilmesi (Kurum Servisi doğrulaması, mTLS, zincirin sunulması) ya da bu CA adına sertifika üretebilmesi için iç CA'nın TR7'ye tanıtılması gerekir.

Çözüm: Dört Yöntem ​

Yöntem 1 ve 2 yalnızca güven kaydı ekler; Yöntem 3 ve 4 TR7'ye bu CA hiyerarşisinde sertifika üretme yetkisi verir.

DurumunuzUygun yöntem
TR7 yalnızca bu CA'ya güvensin (doğrulama, mTLS, zincir)Yöntem 1: Add a trusted CA certificate
Güven kaydını komut satırından eklemekYöntem 2: WEB-CLI
TR7 bu CA'nın anahtarıyla sertifika üretsinYöntem 3: Import Existing CA
CA anahtarı TR7'ye verilemiyor; TR7 kurum CA'sının altında bir alt CA olsunYöntem 4: Enroll under an external CA
  • Nasıl çalışır CA sertifikası güven kaydı (trust anchor) olarak eklenir; TR7 bu CA'nın imzaladığı sertifikalara güvenir ama sertifika imzalayamaz.
  • Nerede açılırCertificates & PKI → Certificate Authorities (CA) → Add → Operation = Add a trusted CA certificate
  • Gereksinim CA sertifikası (PEM, PKCS#7/P7B ya da DER)
  • Kapsam Sertifika zinciri, mTLS, Kurum Servisi doğrulaması, health check

Adım adım yapılandırma ​

1
Adım 1 CA ekleme formunu aç

Sol alttaki TR7 logosuyla Configuration Menu açılır; Certificates & PKI → Certificate Authorities (CA) ekranında Add tıklanır (nasıl eklenir).

2
Adım 2 CA sertifikasını gir

CA Name girilir; Operation alanında varsayılan Add a trusted CA certificate bırakılır. CA Certificate (PEM) alanına sertifika yapıştırılır ya da dosya sürüklenir (en fazla 32 KB); P7B ve DER içerik kayıt sırasında PEM'e çevrilir. Kök ve ara CA varsa her biri ayrı kayıt olarak eklenebilir.

3
Adım 3 Kaydet

Add tıklanır; kayıt listeye Trust Anchor türüyle eklenir. Cluster kurulumunda varsayılan auto-sync ile kayıt eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Kayıt ihtiyaca göre şu alanlarda seçilir:

AmaçAlan
Sertifikanın zincirinde sunulmasıSSL/TLS Certificates → Intermediate Cert. Content / Root Cert. Content → Use Profiles (Intermediate certificate chain'i nasıl eklerim?)
İstemci sertifikalarının doğrulanması (mTLS)TLS Security Profile → CA Certificate Files (İstemci sertifikasıyla kimlik doğrulama (mTLS) yapabilir miyim?)
Kurum Servisi sertifikasının doğrulanmasıKurum Servisi → Certificate Verification = Required → Verification CA Profile (Backend'e HTTPS ile bağlanırken backend sertifikasını doğrulayabilir miyim?)
Health check'te sunucu sertifikasının doğrulanmasıHealth Check profilindeki Verification CA Profile; boşsa Kurum Servisininki kullanılır

Doğrulama ​

1Kayıt ve zincirTR7 tarafı

CA kaydının önizlemesinde CN ve geçerlilik okunur; iç CA'nın imzaladığı ve zinciri bu kayıtla kurulan bir sertifikanın Chain sekmesine bakılır.

BeklenenTrust chain is complete
Chain sekmesi zinciri kendi kendini imzalamış bir kök CA'ya kadar arar. Eklenen CA bir ara CA ise kök CA da ayrıca eklenip seçilmedikçe "Missing intermediate certificate — required issuer" iletisi görünür.

Yöntem 2: WEB-CLI ​

  • Nasıl çalışır Güven kaydı komut satırından eklenir. WEB-CLI her satırı ayrı komut olarak çalıştırdığından CA sertifikası çok satırlı PEM yerine tek satırlık Base64 (DER) olarak verilir; TR7 bunu kayıt sırasında PEM'e çevirir.
  • Nerede açılır TR7 WEB-CLI → lb ca add
  • Gereksinim WEB-CLI erişimi; CA sertifikasının tek satırlık Base64 hâli
  • Kapsam Yöntem 1 ile aynı

Adım adım yapılandırma ​

1
Adım 1 Sertifikayı tek satıra çevir

Yönetici bilgisayarında PEM dosyası satır sonu içermeyen Base64'e çevrilir:

text
openssl x509 -in kurum-kok-ca.pem -outform DER | base64 -w0
2
Adım 2 Kaydı ekle

<base64> yerine 1. adımın çıktısı yapıştırılır (lb ca add):

text
lb ca add name kurum-kok-ca --content <base64>

Doğrulama ​

1KayıtTR7 tarafı

Komut: lb ca list

Beklenenkurum-kok-ca listede

Yöntem 3: Import Existing CA ​

  • Nasıl çalışır CA sertifikası özel anahtarıyla birlikte içe aktarılır ve TR7'de anahtarlı bir kök CA olarak kaydedilir; TR7 bu kökün altında bir issuing CA oluşturup sunucu ve istemci sertifikası üretebilir.
  • Nerede açılırCertificates & PKI → Certificate Authorities (CA) → Add → Operation = Import Existing CA
  • Gereksinim CA sertifikası ve özel anahtarı (PEM)
  • Kapsam Dahili PKI (Internal CA sertifikaları, Client Certificates)

Adım adım yapılandırma ​

1
Adım 1 CA ekleme formunu aç

Certificates & PKI → Certificate Authorities (CA) ekranında Add tıklanır.

2
Adım 2 CA'yı ve anahtarı gir

CA Name girilir; Operation = Import Existing CA seçilir. CA Certificate (PEM) ve CA Private Key (PEM) alanları doldurulur; anahtar parolalıysa Key Passphrase (if encrypted) girilir.

3
Adım 3 Kaydet

Add tıklanır; kayıt Internal Root CA olarak listelenir.

4
Adım 4 Issuing CA oluştur

Sertifika üretmek için aynı ekranda Add ile Operation = Create Issuing CA seçilir, Parent CA alanında içe aktarılan kök seçilir, Usage (Server Certificates ya da Client Certificates) ve Common Name (CN) girilip Add tıklanır (TR7'yi iç CA olarak kullanıp sertifika üretebilir, otomatik yenileyebilir ve iptal edebilir miyim?).

Doğrulama ​

1CA listesiTR7 tarafı

Certificate Authorities (CA) listesinde kaydın türü okunur.

BeklenenInternal Root CA

Yöntem 4: Enroll Under an External CA ​

  • Nasıl çalışır TR7 alt CA için anahtar ve istek (CSR) üretir; istek kurumun CA'sına imzalatılır ve imzalı alt CA sertifikası yüklenince TR7 kurum hiyerarşisinin altında sertifika üretebilen bir issuing CA olur. Kurum CA'sının anahtarı TR7'ye verilmez.
  • Nerede açılırCertificates & PKI → Certificate Authorities (CA) → Add → Operation = Enroll under an external CA
  • Gereksinim Kurum CA'sının alt CA sertifikası imzalayabilmesi
  • Kapsam Dahili PKI (Internal CA sertifikaları, Client Certificates)

Adım adım yapılandırma ​

1
Adım 1 CA ekleme formunu aç

Certificates & PKI → Certificate Authorities (CA) ekranında Add tıklanır.

2
Adım 2 İsteği tanımla

CA Name girilir; Operation = Enroll under an external CA seçilir. Usage (Server Certificates ya da Client Certificates), Common Name (CN) ve isteğe bağlı Organization (O), Organizational Unit (OU), Country (C) ile Key Algorithm (varsayılan RSA 4096) girilir; geçerlilik süresini kurum CA'sı belirler.

3
Adım 3 İsteği kaydet

Add tıklanır; kayıt Enrollment Pending durumunda oluşur. CSR içeriği arayüzde gösterilmez; cihazın REST API'sindeki /api/lb/pki/caCsrContent/<kayıt kimliği> uç noktasından alınır (Harici CA Altına Kaydın Tamamlanması).

4
Adım 4 İmzalı sertifika penceresini aç

CSR kurumun CA'sına imzalatıldıktan sonra kaydın önizlemesinde ya da sağ tık menüsünde Upload the signed CA certificate seçilir (kaydın tamamlanması).

5
Adım 5 Sertifikayı yapıştır

Signed Certificate (PEM) alanına imzalı alt CA sertifikası (varsa zinciriyle) yapıştırılır.

6
Adım 6 Kaydet

Accept tıklanır; sertifika kayıttaki anahtarla doğrulanır ve kayıt Internal Issuing CA olur.

Doğrulama ​

1CA listesiTR7 tarafı

Certificate Authorities (CA) listesinde kaydın türü okunur.

BeklenenInternal Issuing CA

Sık Yapılan Hatalar ​

  • Güven kaydıyla sertifika üretmeyi beklemek. Add a trusted CA certificate yalnızca güven sağlar; sertifika üretmek için anahtarlı bir CA (Yöntem 3 ya da 4) gerekir.
  • Silmeden önce yalnızca Used in sekmesine bakmak. Used in zincirinde bu CA'yı kullanan tanımları gösterir; TLS profili, Kurum Servisi ve health check kullanımları ayrıca kontrol edilir.
  • Kök CA ile doğrudan sunucu sertifikası üretmeye çalışmak. Sertifikalar kökün altındaki bir issuing CA ile üretilir; kök CA'lar Internal CA ve Client Certificates seçicilerinde listelenmez.
  • İstemcilere kök CA'yı dağıtmayı unutmak. Tarayıcıların ve istemcilerin iç CA'lı sertifikalara güvenmesi için kök sertifika istemcilerin güven deposuna ayrıca dağıtılır.

Dokümantasyonda nasıl yapılır

İlgili sorular