透過 Sectigo Vault PKI 外掛程式，在 HashiCorp Vault 中頒發及管理公網信任數碼證書與私有數碼證書

HashiCorp Vault 可提供精簡工作流程，透過 Vault 原生公開金鑰基礎設施（PKI）引擎生成的私有數碼證書以及自簽根證書頒發機構（CA），完成容器與數據的認證和加密。若查詢 DevOps 團隊，他們只會表示 Vault 支援按需生成及儲存 SSL/TLS 證書，操作十分便捷。在 Vault 出現之前，有關流程繁瑣不堪，充斥着各種權宜方案與私自簽發的數碼證書，會為應用程式帶來安全風險。

遺憾的是，當面向外部的應用程式部署到生產環境時，這類私有數碼證書無法獲得主流瀏覽器的信任。此外，內置 CA 簽發的私有數碼證書，資訊安全團隊難以執行企業安全策略，也無法維持對這類數碼證書的可見性。

因此，DevOps 團隊再次陷入與過去取得公網信任數碼證書時相同的困境。他們通常沒有自動化途徑從公共證書頒發機構（CA）取得數碼證書，只能等待資訊安全團隊調配公網數碼證書。部分團隊可能會自行採用權宜方案，這有機會導致違反機構的安全策略與監管框架的合規要求。

借助Sectigo Certificate Manager（SCM），DevOps 團隊需要一種順暢的方式，在不違反企業安全要求的前提下，充分運用 HashiCorp Vault 的優勢。

透過 Sectigo Certificate Manager 擴展 Vault 功能

DevOps 團隊可借助 Sectigo，沿用日常使用的 Vault 流程，便捷申請及簽發公網信任數碼證書與私有數碼證書，包括容器數碼證書和程式碼簽署數碼證書。Sectigo 與 HashiCorp Vault 的集成方案，可對 Sectigo Certificate Manager（SCM）簽發的公共 SSL 證書與私有容器認證數碼證書，實現無縫的註冊、獲取、吊銷、續期及替換管理。該集成以 Vault 自訂外掛程式的形式分發，由 Sectigo 構建及維護。聯絡 Sectigo 以取得存取權限。

此外，借助 Sectigo HashiCorp Vault PKI 外掛程式，DevOps 團隊可將合規的數碼證書流程融入日常工作流，同時資訊安全團隊可獲得所需的可見性與易於審計的解決方案。透過對接 Sectigo Certificate Manager 實現自動化證書生命週期管理，用戶可更輕鬆地排查問題，防止環境中部署的大量短生命週期容器數碼證書在管理過程中容易發生的服務中斷。與部分在數碼證書安裝後才執行證書策略校驗的方案不同，Sectigo Vault PKI 外掛程式可確保數碼證書在簽發前就符合 DevSecOps 配置的策略。因此，用戶可以放心，所簽發的數碼證書始終合規，無需耗費精力追蹤不合規數碼證書。

透過統一管理面板頒發及管理私有 CA 數碼證書

除部署公網信任數碼證書外，用戶還可透過與 Sectigo Certificate Manager 集成的同一 Vault PKI 外掛程式，頒發及管理私有 CA 數碼證書。不論用戶使用的是 HashiCorp 私有數碼證書、Sectigo 私有 CA，還是自身已有的私有根 CA 數碼證書，Sectigo Certificate Manager 都可提供統一管理平台，自動化覆蓋公共與私有數碼證書的全生命週期。現時，用戶可透過同一個控制面板完成容器數碼證書頒發與管理、程式碼簽署，以及部署所用各類數碼證書的操作，滿足 DevOps 環境所需的部署規模與速度要求。

Sectigo Certificate Manager 不僅可集中實現互操作性、高可用性與治理能力，還可透過以下特性提升管理效率、優化證書生命週期管理（CLM）：

• 自動化：在盡可能減少人手操作的前提下完成各項獨立任務。

• 協同能力：透過自動化處理各類證書管理任務。

• 可擴展性：可管理數十萬、數百萬甚至更多數量的證書。

• 加密敏捷性：可快速更新加密強度，針對新增或變化的威脅迅速吊銷並替換存在風險的證書。

• 可見性： 透過統一管理面板檢視所有用例場景下的證書狀態。

進一步而言，如果您需要搭建新的私有 CA，Sectigo Private CA 與 Sectigo Certificate Manager 可簡化該流程。您可以透過易用的用戶介面即時完成私有 CA 及其拓撲結構的搭建。

Sectigo Vault PKI 插件工作原理

Sectigo Vault PKI 插件支援在 HashiCorp Vault 中生成及儲存新的 SSL 證書與客戶端證書，還可（可選）為您指定的證書到期窗口內的證書自動執行續期操作。根據您的 Sectigo 帳戶配置情況，只需提供對應的配置選項，即可申請多種類型的 SSL 證書和客戶端證書。

Sectigo Vault PKI 插件提供以下特性：

• 支援生成 2048 位、3072 位、4096 位 RSA 私鑰及證書簽名請求

• 支援證書簽名請求（CSR）註冊，以及公網證書和私有證書的管理

• 支援在 HashiCorp Vault 中儲存由 Sectigo Certificate Manager 簽發的證書，並跟蹤證書狀態

透過 Sectigo Certificate Manager 在 Vault 上註冊和管理證書的工作流程簡單直觀，Vault 用戶可以快速上手，主要包含四個步驟：

1. 配置插件目錄

2. 設定環境變數

3. 啟用插件

4. 與插件交互，完成證書的註冊、讀取、吊銷、替換和續期操作

下圖展示了使用 Sectigo HashiCorp Vault PKI 插件的典型證書註冊工作流：

用戶可以直接透過 Vault CLI 工具與 Vault 交互，也可以透過 cURL 等工具調用暴露的 API 端點與 Vault 交互。Sectigo Vault PKI 插件可支援多種參數，包括配置參數、用戶專屬參數、CSR 參數以及證書簽發和採集參數。所需參數取決於您的實際用例，既可以透過 Vault CLI 工具以 JSON 文件打包的形式傳入 Vault，也可以透過 cURL 命令傳入，或者在透過 Vault CLI 工具與 Vault 交互時以鍵值對的形式逐個傳入。

了解更多

借助 Sectigo Vault PKI 插件，您的 DevOps 團隊可以沿用已有的 Vault 使用習慣，透過程式化方式為容器和代碼簽名場景簽發、管理私有證書及公網可信證書；您的資訊安全團隊則可獲得所需的可見性，用於落實證書策略、保持合規狀態。

如需了解更多資訊，請閱讀Sectigo-HashiCorp Vault 集成指南，或發送電郵至 Sectigo DevOps 入門團隊，獲取 Sectigo Vault PKI 插件以及 Sectigo Certificate Manager 的免費試用資格。

關於 Sectigo

Sectigo是領先的網絡安全與數碼身份解決方案供應商，產品涵蓋 TLS/SSL 證書、DevOps 解決方案、IoT 解決方案、企業級 PKI 管理以及多層級 Web 安全方案。憑藉屢獲殊榮的創新能力與全球頂尖的客戶支援服務，Sectigo 具備保障當今數碼環境安全所需的成熟性能表現。隨著越來越多企業採用 DevOps 模式來縮短開發週期、提升產品質素與功能，工程團隊不希望將時間耗費在證書管理或網絡安全策略落實工作上。借助 Sectigo PKI 解決方案，您可以自動配置公網及私有 SSL 證書，確保容器、容器運行的程式碼以及使用容器的生產應用的身份真實性與完整性。Sectigo Certificate Manager 可透過其 RESTful API 與行業標準 ACME 協議，和主流 DevOps 工具及環境實現互操作。