Rozdíly

Zde můžete vidět rozdíly mezi vybranou verzí a aktuální verzí dané stránky.

--- cs:tech:certificates [2014/09/11 16:17] – [Certifikáty] semik@cesnet.cz
+++ cs:tech:certificates [2024/01/11 10:22] (aktuální) – [Plynulá výměna certifikátů v metadatech] Jan Oppolzer
@@ Řádek 1: / Řádek 1: @@
 ====== Certifikáty ======
-V typické instalaci Shibboleth IdP/SP potřebujete X.509 certifikát, kterým se komponenta identifikuje v rámci federace.
+V typické instalaci Shibboleth IdP/SP potřebujete X.509 certifikát, kterým se entita identifikuje v rámci federace.
-Certifikát musí splňovat:
+Certifikát musí splňovat následující požadavky:
-  * klíč musí mít délku alespoň 2048 bitů
-  * musí být platný
+  * být platný,
-  * položka CN certifikátu musí odpovídat hostname serveru, na kterém je umístěna komponenta (IdP nebo SP)
+  * klíč o délce alespoň 2048 bitů,
-  * může být shodný s tím který se používá pro SSL v Apachi
+  * používat podpis SHA-2 a lepší.
-  * může být podepsán sám sebou (self-signed)
-  * měl by používat podpis SHA-2 a lepší
+**Doporučujeme používat tzv. Self-Signed certifikát s platností 10 let.**
 ===== Plynulá výměna certifikátů v metadatech =====
-V případě, že potřebujeme vyměnit certifikát v metadatech IdP nebo SP, pokud to provedeme klasickým způsobem, tj. metadata IdP/SP jednoduše vyměníme, pravděpodobně vznikne časové okno, během kterého nebude služba (ať už aplikace či autentizace) dostupná. Stane se tak, protože náš IdP/SP už používá nový certifikát, zatímco ostatní IdP/SP mají k dispozici ten starý, dokud neprovedou aktualizaci metadat.
+V případě, že potřebujete vyměnit certifikát v metadatech IdP nebo SP, pokud to provedeme klasickým způsobem, tj. metadata IdP/SP jednoduše vyměníme, vznikne časové okno, během kterého nebude služba (ať už aplikace či autentizace) dostupná. Stane se tak, protože IdP/SP už používá nový certifikát, zatímco ostatní IdP/SP mají k dispozici ten starý, dokud neprovedou aktualizaci metadat.
+Řešením je udržovat po nějakou dobu v metadatech oba certifikáty, tedy stávající (= starý) a nový.
+  * [[cs:tech:sp:shibboleth:rollover|Shibboleth SP 3]]
+Vynikající návod v angličtině i s diagramy najdete na [[http://switch.ch/aai/support/certificate-migration.html|stránkach SWITCH]].
-Řešením je, udržovat po nějakou dobu v metadatech oba certifikáty. Vynikající návod v angličtině i s diagramy najdete na [[http://switch.ch/aai/support/certificate-migration.html|stránkach SWITCH]].