Integración con MSCA API

🔗 Guía de integración#

Esta guía explica cómo conectar CA-API Proxy Gateway con PKI Trust Manager para gestionar certificados de forma integrada.

📋 Requisitos previos#

Antes de comenzar la integración, asegúrese de lo siguiente:

Requisitos de CA-API Proxy#

• ✅ CA-API Proxy está instalado y en ejecución
• ✅ Los archivos de certificado están en la carpeta ca (cacert.crt, cachain.crt)
• ✅ La cuenta de servicio está configurada con permisos en la CA
• ✅ La aplicación web está disponible mediante URL (por ejemplo, http://ca-server:9081/)
• ✅ Las restricciones de IP permiten el acceso desde el servidor PKI Trust Manager

Requisitos de PKI Trust Manager#

• ✅ PKI Trust Manager está instalado y en ejecución
• ✅ Tiene acceso administrativo a PKI Trust Manager
• ✅ Hay conectividad de red con el servidor CA-API Proxy

🚀 Integración paso a paso#

Paso 1: Acceder a PKI Trust Manager#

1. Inicie sesión en la interfaz web de PKI Trust Manager.
2. Vaya a Administration Panel → Integrations.

Paso 2: Añadir una autoridad de certificación#

1. Abra la sección Certification Authorities.
2. Haga clic en NEW para crear una integración de CA.

Paso 3: Configurar la CA#

Complete el formulario Create CA con estos datos:

Detalles de configuración

Customer:

• Seleccione una organización configurada en la lista desplegable.
• Determina qué organización puede utilizar esta CA.
• Normalmente será el nombre de su empresa u organización.

Type:

• Microsoft ADCS Enterprise CA: para CA integradas con Active Directory.
• Microsoft Standalone CA: para CA independientes o de grupos de trabajo.
• Elija según el tipo de CA.

Name:

• Use un nombre descriptivo que facilite su identificación.
• Ejemplos: Corporate Root CA, Internal SSL CA, Code Signing CA.
• Aparecerá en las listas desplegables del sistema.

API-URL:

• URL HTTP completa de CA-API Proxy.
• Formato: http://[server-name]:[port]/.
• Puerto predeterminado: 9081.
• Ejemplo: http://ca-api.company.com:9081/.

Status:

• Seleccione Active para habilitar la CA inmediatamente.
• Puede seleccionar Inactive para deshabilitarla temporalmente.

Paso 4: Probar la conexión#

Después de guardar, PKI Trust Manager realizará automáticamente lo siguiente:

1. Probar la conectividad con API-URL.
2. Verificar la recuperación del certificado mediante el endpoint /cacert.
3. Validar las respuestas de la API.
4. Mostrar el estado de conexión.

Paso 5: Configurar opciones avanzadas (opcional)#

Después de crear la CA, selecciónela para configurar opciones adicionales.

Asignación de plantillas

Asigne las plantillas de certificado de PKI Trust Manager a las plantillas de Microsoft CA:

1. Abra la pestaña Templates.
2. Haga clic en Add Template Mapping.
3. Configure:
   • PKI Template: seleccione una plantilla de PKI Trust Manager.
   • CA Template: introduzca el nombre de la plantilla Microsoft CA (por ejemplo, WebServer).
   • Validity: periodo de validez predeterminado del certificado.
   • Key Usage: restricciones de uso de clave.

Configuración de seguridad

1. Abra la pestaña Security.
2. Configure la autenticación si es necesaria:
   • Authentication Type: Windows Authentication.
   • Service Account: Domain\svc-caapi.
   • Credentials: almacene las credenciales de forma segura en PKI Trust Manager.

✅ Pasos de verificación#

1. Verificar el estado de integración#

En PKI Trust Manager:

• Vaya a Dashboard → System Health.
• Compruebe la sección CA Connections.
• El estado debería indicar: ✅ Connected.

2. Probar la emisión de certificados#

# Using PKI Trust Manager API or Web Interface
# 1. Request a test certificate
# 2. Select the newly added CA
# 3. Choose a certificate template
# 4. Submit request
# 5. Verify certificate is issued successfully

3. Supervisar la integración#

Consulte las siguientes ubicaciones para comprobar el estado:

Registros de PKI Trust Manager

# Application logs
- Check PKI Trust Manager (webUI) docker / container logs

# Audit logs
- Check PKI Trust Manager (webUI) docker / container logs

Registros de CA-API Proxy

# Check application logs
Get-Content "C:\Sites\ca-api-proxy\logs\*.log" -Tail 50 | Select-String "PKI"

🔧 Solución de problemas de integración#

Problema 1: error "Connection Failed"#

Síntomas: PKI Trust Manager no puede conectarse a CA-API Proxy.

Soluciones:

# 1. Check network connectivity
Test-NetConnection -ComputerName "ca-server" -Port 9081
 
# 2. Check IIS is running
Get-Service -Name W3SVC
 
# 3. Check application pool
Get-WebAppPoolState -Name "ca-api-proxy"
 
# 4. Check firewall rules
Get-NetFirewallRule -DisplayName "*9081*" | Format-Table DisplayName, Enabled

Problema 2: error "Certificate Not Found"#

Síntomas: no se puede recuperar el certificado de CA.

Soluciones:

# 1. Verify certificate files exist
Test-Path "C:\Sites\ca-api-proxy\ca\cacert.crt"
 
# 2. Check file permissions
icacls "C:\Sites\ca-api-proxy\ca\cacert.crt"
 
# 3. Test endpoint manually
curl http://ca-server:9081/cacert

Problema 4: error "Template Not Available"#

Síntomas: las plantillas de certificado no aparecen en PKI Trust Manager.

Soluciones:

# 1. Check CA template permissions
certutil -template
 
# 2. Verify service account has template access
# 3. Check PKI Trust Manager template mappings

🔐 Configuración de seguridad#

1. Comunicación segura#

Recomendación: utilice HTTPS para CA-API Proxy.

# Add SSL certificate to IIS
# 1. Obtain SSL certificate
# 2. Bind HTTPS to port 443
# 3. Update PKI Trust Manager API-URL to https://

2. Buenas prácticas de restricción IP#

# Restrict to PKI Trust Manager IP only
Add-WebConfigurationProperty `
    -Filter "/system.webServer/security/ipSecurity" `
    -Name "." `
    -Value @{ipAddress="192.168.1.100";subnetMask="255.255.255.255";allowed="true"}

📊 Supervisión de la integración#

Métricas del panel de PKI Trust Manager#

Después de la integración, supervise estas métricas:

1. Estado de conexión de CA: debería indicar "ACTIVE".
2. Tasa de emisión de certificados: supervise las solicitudes correctas y fallidas.
3. Tiempo de respuesta: tiempos de respuesta de la API de CA-API Proxy.
4. Tasa de errores: solicitudes de certificado fallidas.

Configuración de alertas#

Configure alertas para:

• Pérdida de conectividad con la CA.
• Tasa elevada de fallos de certificados.
• Tiempos de respuesta lentos de la API.
• Fallos de autenticación.

🔄 Procedimientos de mantenimiento#

Tareas periódicas#

Semanalmente

1. Revise los registros de integración en busca de errores.
2. Compruebe que las plantillas de certificado estén disponibles.
3. Pruebe el flujo de emisión de certificados.

Mensualmente

1. Revise los permisos de seguridad.
2. Actualice el certificado de CA si se ha renovado.
3. Haga una copia de seguridad de la configuración.

Trimestralmente

1. Revise y actualice las asignaciones de plantillas.
2. Pruebe los procedimientos de recuperación ante desastres.
3. Actualice los componentes de software.

Actualizar el certificado de CA#

Cuando se renueve el certificado de CA:

1. Actualizar CA-API Proxy:

# Export new certificate to ca folder
certutil -ca.cert "C:\Sites\ca-api-proxy\ca\cacert.crt"
 
# Update chain file
# ... generate new cachain.crt ...
 
# Restart application pool
Restart-WebAppPool -Name "ca-api-proxy"

2. Actualizar PKI Trust Manager:
   • El certificado de CA se actualizará automáticamente mediante la API.
   • Compruebe que el nuevo certificado aparezca en PKI Trust Manager.

🎯 Buenas prácticas#

1. Convenciones de nombres#

• Use un formato coherente: [Location]-[Purpose]-CA.
• Ejemplos: US-East-SSL-CA, EU-CodeSign-CA.

2. Documentación#

• Documente los datos de la CA: servidor, versión y plantillas.
• Mantenga un registro de las credenciales de la cuenta de servicio.
• Documente las fechas de renovación de certificados.

3. Pruebas#

• Pruebe periódicamente la integración.
• Pruebe mensualmente la emisión de certificados.
• Valide los procedimientos de copia de seguridad y restauración.

4. Seguridad#

• Revise periódicamente los permisos.
• Supervise los registros de acceso.
• Aplique el principio de privilegio mínimo.

📞 Recursos de soporte#

Lista de comprobación para solucionar problemas#

- [ ] Network connectivity between servers
- [ ] Firewall ports open (9081 or 443 or 80)
- [ ] IIS running and application pool started
- [ ] Certificate files in ca folder
- [ ] Service account permissions
- [ ] CA configuration string correct
- [ ] PKI Trust Manager CA configuration
- [ ] Template mappings configured

Contactar con soporte#

• Soporte de PKI Trust Manager: [email protected]
• Documentación: https://securetron.net/documentation

Recopilar información de depuración#

# Gather troubleshooting data
$debugInfo = @{
    "PKI_Server" = $env:COMPUTERNAME
    "CA_API_URL" = "http://ca-server:9081/"
    "Connection_Test" = Test-NetConnection -ComputerName "ca-server" -Port 9081
    "IIS_Status" = Get-Service -Name W3SVC
    "CA_Cert_Exists" = Test-Path "C:\Sites\ca-api-proxy\ca\cacert.crt"
}
 
$debugInfo | ConvertTo-Json | Out-File "debug-info.json"

🏁 Lista de comprobación final#

Después de la integración, verifique lo siguiente:

• La CA aparece en la lista de CA de PKI Trust Manager.
• El estado indica "Active".
• Funciona la emisión de un certificado de prueba.
• Las plantillas de certificado están disponibles.
• Los registros muestran conexiones correctas.
• Las alertas de supervisión están configuradas.

Tiempo de integración: ~15-30 minutos
Tiempo de pruebas: ~30 minutos
Documentación: actualice la wiki interna con los datos de la CA.

Pasos siguientes:

1. Configure las plantillas de certificado.
2. Configure la emisión automatizada de certificados.
3. Capacite a los usuarios en el proceso de solicitud.
4. Implemente la supervisión y las alertas.