TLM jako orchestrátor: Automatizace certifikátů od vydání po nasazení

Automatizace certifikátů nemusí znamenat jeden pevně daný postup. DigiCert Trust Lifecycle Manager (TLM) funguje spíše jako orchestrátor, ve kterém lze propojit zdroj certifikátů, automatické ověření domény a způsob jejich nasazení do cílových systémů. Jednou vytvořený proces se následně stará o vydávání, obnovu i distribuci certifikátů bez nutnosti pokaždé opakovat stejné kroky ručně.

TLM jako orchestrátor celého procesu

Trust Lifecycle Manager není pouze místo, kde administrátor vidí používané certifikáty. Funguje především jako centrální orchestrátor, který propojuje jednotlivé části jejich životního cyklu – od certifikační autority přes vydání a ověření až po nasazení na cílový systém.

Celý princip si lze představit jako skládačku. Organizace si podle své infrastruktury vybere jednotlivé dílky a určí, jak na sebe budou navazovat. Na začátku stojí zdroj certifikátu, například DigiCert, jiná veřejná CA nebo interní Microsoft CA. Následuje způsob vydání a ověření a nakonec systém, do kterého má být certifikát doručen.

Zjednodušeně může cesta vypadat například: certifikační autorita → TLM → DNS ověření → vydání certifikátu → webový server.

Jinde může TLM propojit privátní CA se síťovým zařízením, cloudovou službou nebo vaultem. K tomu využívá konektory pro různé části infrastruktury.

Vše se přitom sbíhá v centrálním inventory, kde má administrátor přehled o certifikátech a jejich stavu. TLM odtud koordinuje vydávání, obnovu, reissue i nasazování certifikátů. Jednotlivé kroky, které by jinak bylo nutné provádět samostatně, tak mohou tvořit jeden automatizovaný proces.

Správce tedy jednou nastaví odkud certifikát získat, jak jej vydat a kam jej nasadit. TLM následně celý proces řídí a při dalších obnovách jej může automaticky opakovat.

Jak si automatizaci v TLM poskládat

Celý proces lze chápat jako skládačku několika navazujících dílků. Správce si podle vlastní infrastruktury zvolí zdroj certifikátu, způsob jeho vydání a ověření i místo, kam má být následně nasazen. TLM jednotlivé části propojí a řídí jejich další automatizaci.

1)   Zdroj certifikátu (certifikační autorita) – prvním krokem je určit, kdo bude certifikát vydávat. Přestože je TLM produktem DigiCertu, není omezen pouze na jeho certifikáty. Prostřednictvím CA konektorů podporuje například DigiCert CertCentral, Microsoft CA, AWS Private CA, Entrust, GlobalSign, Let’s Encrypt, Sectigo nebo EJBCA. Organizace tak může do jednoho prostředí zapojit veřejné i privátní certifikační autority.

2)   Orchestrátor a centrální inventory – uprostřed celé skládačky stojí samotný TLM. V jeho inventory lze certifikáty objevovat, evidovat a sledovat jejich stav i endpointy, na kterých jsou používány. Z jednoho místa pak může TLM koordinovat jejich vydávání, obnovu, reissue i další automatizované operace. Orchestrátor tedy ví, odkud má certifikát získat, pro jaký systém je určen a co se s ním má dále stát.

3)   Automatické ověření domény – u veřejných TLS certifikátů je před vydáním potřeba ověřit kontrolu nad doménou (DCV). TLM podporuje DNS integrace pro více než 150 poskytovatelů, například Cloudflare, Azure DNS, Amazon Route 53, Google Cloud DNS nebo CZECHIA.COM. Prostřednictvím DNS API může automaticky vytvořit potřebný ověřovací záznam a dokončit vydání certifikátu. Správce tak nemusí při každé obnově ručně zasahovat do DNS.

4)   Nasazení na cílové místo – posledním dílkem je určit, kam má vydaný certifikát putovat. Může jít o webový či aplikační server, load balancer, firewall, síťové zařízení, cloudovou službu nebo secrets vault. K automatizaci lze využít například DigiCert agent, sensor, konektory nebo podporované protokoly a API. K dispozici jsou integrace například pro AWS Certificate Manager, AWS load balancery, CloudFront nebo Google Cloud Certificate Manager.

Výsledná automatizace tak může být velmi jednoduchá: CA → TLM → DNS ověření → webový server.

Stejnou skládačku lze ale sestavit i pro složitější prostředí: Microsoft CA → TLM → privátní certifikát → firewall / interní server.

Jakmile jsou jednotlivé dílky propojené, TLM může stejný proces využívat také při dalších obnovách certifikátu. Správce tak nemusí pokaždé znovu řešit jeho vydání, ověření a následné nasazení.

ACME zůstává jedním z nejdůležitějších dílků

Samostatnou pozornost si zaslouží ACME (Automated Certificate Management Environment). Jde o standardizovaný protokol vytvořený právě pro automatizaci vydávání a správy certifikátů.

 V jednoduchém scénáři může ACME klient běžící například na webovém serveru požádat o certifikát, zajistit potřebné ověření a následně certifikát nasadit. TLM poskytuje vlastní ACME službu a umožňuje používat kompatibilní ACME klienty. Prostřednictvím ACME lze automatizovat nejen první vydání, ale také další obnovy či reissue certifikátu.

ACME ale není jedinou cestou. TLM podporuje rovněž další enrollment protokoly a API, například SCEP, EST, CMP a REST API. Díky tomu lze automatizaci přizpůsobit různým typům zařízení a prostředí, kde samotné ACME nemusí být vhodné nebo podporované.

Právě kombinace standardních protokolů, agentů, senzorů a konektorů dělá z TLM spíše orchestrátor než nástroj určený pouze k automatickému prodlužování HTTPS certifikátů.

Jednou nastavit, potom automatizovat celý cyklus

Hlavní přínos TLM se projeví ve chvíli, kdy jsou jednotlivé dílky propojené. Správce nejprve nastaví, odkud má certifikát pocházet, jak má proběhnout jeho vydání a ověření a kam se má následně nasadit. Z těchto pravidel vznikne workflow, které lze využívat opakovaně.

TLM pak může automatizovat několik částí životního cyklu:

• první vydání certifikátu podle nastavených pravidel,
• ověření domény prostřednictvím připojeného DNS API,
• instalaci a nasazení na vybrané endpointy,
• obnovu certifikátu před koncem jeho platnosti,
• reissue nebo výměnu certifikátu, pokud je potřeba,
• sledování certifikátů a automatizačních operací z centrálního inventory.

Při další obnově tak administrátor nemusí znovu ručně objednávat certifikát, provádět DNS ověření, stahovat soubory a instalovat je na jednotlivé servery. TLM může podle vytvořeného workflow potřebné kroky zopakovat a nový certifikát dostat na správné místo.

Nejde tedy pouze o automatické prodlužování certifikátů. Automatizovaný je celý řetězec od vydání přes ověření a nasazení až po další obnovu. Jednou správně sestavená skládačka tak může sloužit po celý životní cyklus certifikátu.

Proč bude automatizace stále důležitější

Význam automatizace roste také kvůli postupnému zkracování platnosti veřejných TLS certifikátů. Ještě donedávna mohl veřejný TLS certifikát platit až 398 dní. Od 15. března 2026 však CA/Browser Forum stanovuje maximální platnost na 200 dní a další zkracování už má jasný harmonogram.

• od 15. března 2026 – maximálně 200 dní,
• od 15. března 2027 – maximálně 100 dní,
• od 15. března 2029 – maximálně 47 dní.

Certifikáty tak bude nutné vydávat, ověřovat a nasazovat mnohem častěji. U jednoho webu může být ruční obnova ještě zvládnutelná, ve firmě se stovkami certifikátů na serverech, load balancerech, síťových zařízeních nebo v cloudu ale množství práce rychle narůstá. S každým ručním krokem navíc roste riziko chyby nebo přehlédnuté expirace.

Právě proto získávají na významu TLM, ACME a další automatizační mechanismy. Namísto hlídání jednotlivých certifikátů lze automatizovat celý proces od ověření a vydání až po nasazení a další obnovu.

Automatizace podle vlastní infrastruktury

Na Trust Lifecycle Manager se lze dívat jako na automatizační vrstvu mezi certifikačními autoritami a systémy, které certifikáty používají. Firma přitom nemusí svou infrastrukturu přizpůsobovat jedinému způsobu vydávání a nasazování certifikátů.

Z dostupných dílků si naopak sestaví proces podle vlastních potřeb. Připojí používanou veřejnou či privátní CA, DNS poskytovatele a následně servery, cloudy, load balancery, síťová zařízení nebo vaulty. TLM jednotlivé části propojí do společného automatizovaného workflow.

Menší prostředí může využít například ACME a automatizovat správu certifikátů na několika serverech. Větší firma může kombinovat více certifikačních autorit, DNS API, agenty, senzory a cloudové konektory. V obou případech zůstává cíl stejný: nastavit proces jednou a následně automatizovat vydávání, ověřování, nasazování i obnovu certifikátů.

S návrhem a nasazením řešení může pomoci také SSLmarket, který DigiCert Trust Lifecycle Manager nabízí a pomůže zvolit vhodnou podobu automatizace podle konkrétní infrastruktury. S postupným zkracováním platnosti TLS certifikátů bude podobný přístup stále důležitější.