Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Nächste Überarbeitung		 Vorhergehende Überarbeitung
de:dfnpki:grid:robot [2024/02/02 15:36] – angelegt Juergen Brauckmannde:dfnpki:grid:robot [2024/02/02 15:41] (aktuell) – [Welche Besonderheiten gibt es bei Robot Zertifikaten?] Juergen Brauckmann
Zeile 7: Zeile 7:
 Für Robot Zertifikate sind einige Besonderheiten zu beachten: Für Robot Zertifikate sind einige Besonderheiten zu beachten:
  
-1. Zertifikatnehmer eines Robot Zertifikats ist entweder+===Zertifikatnehmer=== 
 +Zertifikatnehmer eines Robot Zertifikats ist entweder
   * eine Einzelperson, die für alle Aktivitäten des automatisierten Client (Robot) verantwortlich ist, oder   * eine Einzelperson, die für alle Aktivitäten des automatisierten Client (Robot) verantwortlich ist, oder
   * eine dauerhaft etablierte Gruppe von Administratoren, die für alle Aktivitäten des automatisierten Client (Robot) verantwortlich ist.   * eine dauerhaft etablierte Gruppe von Administratoren, die für alle Aktivitäten des automatisierten Client (Robot) verantwortlich ist.
  
 +===Schlüsselerzeugung, -speicherung und -transport===
  
-2. Schlüsselerzeugung, -speicherung und -transport (DFN-PKI Grid CPS 6.1.1, CP 4.5.1): +  * Private Schlüssel für Robot Zertifikate müssen entweder in einem Hardware-Krypto-Gerät (z.B. Smartcard) erzeugt und gespeichert werden oder auf einem entsprechend gesichertem System, zu dem nur der verantwortliche Zertifikatnehmer (s. Begrifferklärung Zertifikatnehmer) Zugang hat.
-Private Schlüssel für Robot Zertifikate müssen entweder in einem Hardware-Krypto-Gerät (z.B. Smartcard) erzeugt und gespeichert werden oder auf einem entsprechend gesichertem System, zu dem nur der verantwortliche Zertifikatnehmer (s. Begrifferklärung Zertifikatnehmer) Zugang hat. Private Schlüssel von Robot Zertifikaten sollten während einer längeren Inaktivität nicht unverschlüsselt abgelegt und nicht unverschlüsselt im Netz übertragen werden. Private Schlüssel und Passwörter von Robot Zertifikaten dürfen in jeder Art von Netzwerk nicht im Klartext übertragen werden.+
  
-3. Zertifikatname (DFN-PKI Grid CPS 3.1.2c):+  * Private Schlüssel von Robot Zertifikaten sollten während einer längeren Inaktivität nicht unverschlüsselt abgelegt und nicht unverschlüsselt im Netz übertragen werden. 
 + 
 +  * Private Schlüssel und Passwörter von Robot Zertifikaten dürfen in jeder Art von Netzwerk nicht im Klartext übertragen werden. 
 + 
 + 
 +(Bestimmungen aus DFN-PKI Grid CPS 6.1.1, CP 4.5.1) 
 + 
 +===Zertifikatname===
 Das CN-Attribut im Zertifikatnamen von Robot Zertifikaten muss mit dem Schlüsselwort "Robot" direkt gefolgt von einem Doppelpunkt oder Minuszeichen und einem Leerzeichen beginnen. Darauf folgen eine verständliche, bedeutungsvolle Beschreibung des automatisierten Clients, der Name des Zertifikatnehmers (s. Begrifferklärung Zertifikatnehmer) und deren (Gruppen-)E-Mail-Adresse. Die im Robot Zertifikat enthaltenen E-Mail-Adressen müssen dem Zertifikatnehmer gehören. Die Gesamtlänge des CN darf 64 Zeichen nicht überschreiten. Das CN-Attribut im Zertifikatnamen von Robot Zertifikaten muss mit dem Schlüsselwort "Robot" direkt gefolgt von einem Doppelpunkt oder Minuszeichen und einem Leerzeichen beginnen. Darauf folgen eine verständliche, bedeutungsvolle Beschreibung des automatisierten Clients, der Name des Zertifikatnehmers (s. Begrifferklärung Zertifikatnehmer) und deren (Gruppen-)E-Mail-Adresse. Die im Robot Zertifikat enthaltenen E-Mail-Adressen müssen dem Zertifikatnehmer gehören. Die Gesamtlänge des CN darf 64 Zeichen nicht überschreiten.
  
Zeile 37: Zeile 45:
 Unbedingt beachten: Zwischen Robot und dem folgenden ":" bzw "-" darf kein Leerzeichen sein. Unbedingt beachten: Zwischen Robot und dem folgenden ":" bzw "-" darf kein Leerzeichen sein.
  
-4. Alternativer Zertifikatname (DFN-PKI Grid CPS 7.1.2):+(Bestimmungen aus DFN-PKI Grid CPS 3.1.2c) 
 + 
 +===Alternativer Zertifikatname===
 Robot Zertifikate müssen immer mindestens einen alternativen Zertifikatnamen (SubjectAlternativeName, SaN) vom Typ "email" beinhalten, in dem eine E-Mail-Adresse des Zertifikatnehmers aufgeführt wird. Wenn das CN-Attribut bereits eine E-Mail-Adresse enthält, sollte genau diese als E-Mail-Adresse im SaN übernommen werden. Robot Zertifikate müssen immer mindestens einen alternativen Zertifikatnamen (SubjectAlternativeName, SaN) vom Typ "email" beinhalten, in dem eine E-Mail-Adresse des Zertifikatnehmers aufgeführt wird. Wenn das CN-Attribut bereits eine E-Mail-Adresse enthält, sollte genau diese als E-Mail-Adresse im SaN übernommen werden.
 In der DFN-PKI kann der SaN vom Typ ''email'' erzeugt werden, indem im  PKCS#10-Zertifikatrequest (CSR) beim Zertifikatnamen (subjectDN) das Attribut "emailAddress" entsprechend angegeben wird. In der DFN-PKI kann der SaN vom Typ ''email'' erzeugt werden, indem im  PKCS#10-Zertifikatrequest (CSR) beim Zertifikatnamen (subjectDN) das Attribut "emailAddress" entsprechend angegeben wird.
  
-5. Zertifikatnutzung (DFN-PKI Grid CP 4.5.1) und Betrieb der automatisierten Komponente (DFN-PKI Grid CPS 7.1.2): +(Bestimmungen aus DFN-PKI Grid CPS 7.1.2) 
-Auf E-Mails an die im Robot Zertifikat enthaltenen E-Mail-Adressen muss innerhalb eines Werktages reagiert werden. Computersysteme, auf denen private Schlüssel von Robot Zertifikaten gespeichert sind, müssen entsprechend gesichert sein und aktiv im Hinblick auf sicherheitsrelevante Vorkommnisse überwacht werden. Diese Computersysteme müssen in einem gesicherten Raum mit Zugangskontrolle untergebracht sein. Zugang darf nur autorisiertem Personal gewährt werden.+ 
 +===Zertifikatnutzung und Betrieb=== 
 +  * Auf E-Mails an die im Robot Zertifikat enthaltenen E-Mail-Adressen muss innerhalb eines Werktages reagiert werden. 
 + 
 +  * Computersysteme, auf denen private Schlüssel von Robot Zertifikaten gespeichert sind, müssen entsprechend gesichert sein und aktiv im Hinblick auf sicherheitsrelevante Vorkommnisse überwacht werden. 
 + 
 +  * Diese Computersysteme müssen in einem gesicherten Raum mit Zugangskontrolle untergebracht sein. Zugang darf nur autorisiertem Personal gewährt werden. 
 + 
 +(Bestimmungen aus DFN-PKI Grid CP 4.5.1 und DFN-PKI Grid CPS 7.1.2)
  
-====2. Muss für Robot Zertifikate ein spezielles Profil gewählt werden?====+====Muss für Robot Zertifikate ein spezielles Profil gewählt werden?====
 Für Robot Zertifikate muss vom Zertifikatnehmer bzw. von der RA das Zertifikatprofil "Robot" ausgewählt werden. Für Robot Zertifikate muss vom Zertifikatnehmer bzw. von der RA das Zertifikatprofil "Robot" ausgewählt werden.
  
  • Zuletzt geändert: vor 4 Monaten