RADIUSaaS vérifie chaque certificat auprès des CA auxquelles tu fais confiance
RADIUSaaS accepte les certificats de SCEPman, Microsoft Cloud PKI, de ton PKI sur site ou de toute autre CA émettant des certificats clients, plusieurs à la fois. Pour chaque CA, tu définis à quoi elle est autorisée et comment la révocation est vérifiée.
- Plusieurs CA en parallèle
- OCSP ou CRL par CA
- Soft fail ou hard fail
- Renouvellement du certificat de serveur par SCEPman
Fais confiance aux CA que tu as déjà
- Les règles peuvent se limiter à certaines CA : un certificat de ta CA de labo n'arrive jamais dans le VLAN de production
- Les certificats qui expirent dans les 60 jours sont signalés dans la liste
- Recherche par sujet ou par empreinte
Ce qui se passe quand un certificat est révoqué
Choisis comment RADIUSaaS vérifie la révocation pour une CA, choisis ce qui se passe, et vois si l'appareil accède au réseau.
Accepté. Le répondeur a confirmé le certificat.
Données d'exemple.
Quatre méthodes pour vérifier la révocation
| Méthode | Fonctionnement | Quand la choisir |
|---|---|---|
| URL statique du répondeur OCSP | RADIUSaaS interroge le répondeur OCSP à l'URL que tu saisis pour chaque certificat lors de la connexion. La réponse doit arriver dans les 2 secondes, sinon le soft fail s'applique. | Ta CA exploite un répondeur, comme SCEPman. |
| URL dynamique du répondeur OCSP (AIA) | Comme l'URL statique, mais l'URL du répondeur est lue dans l'extension AIA de chaque certificat. | Plusieurs répondeurs, ou tu ne veux pas en saisir un. Plus lent à chaque connexion. |
| Liste de révocation de certificats (CRL) | RADIUSaaS vérifie à partir de sa copie de la CRL de ta CA, delta CRL comprises. Il consulte la CRL toutes les heures et la télécharge à nouveau à son expiration ou lorsque la copie a plus de trois heures. | Gros volume d'authentifications, ou une CA qui ne publie que des CRL, comme Microsoft Cloud PKI. |
| Aucune | Aucune vérification de révocation. | Tenants de test uniquement. |
Le soft fail ou hard fail se configure par CA. RADIUSaaS peut aussi vérifier l'état de révocation du certificat de CA lui-même à chaque authentification ; cette option est désactivée par défaut pour ne pas ralentir les connexions.
Le certificat de serveur que tes appareils vérifient
- Une CA client propre à ton instance
- Ton propre certificat de serveur, de toute CA à laquelle tes appareils font confiance
- Un clic pour changer de certificat actif
Le certificat de serveur se renouvelle par SCEPman
- ConnecterConnecterSaisis l'URL de ton SCEPman dans RADIUSaaS, et dans SCEPman le jeton que RADIUSaaS t'affiche.
- PrégénérerPrégénérerRADIUSaaS demande un certificat de serveur sans l'activer, pour que tu puisses vérifier que tes profils d'appareils lui font confiance.
- Mettre en placeMettre en placeÀ partir de là, RADIUSaaS active le certificat et le renouvelle avant son expiration.
Vois quels certificats expirent bientôt
Filtres pour les certificats qui expirent
Les certificats de confiance et de serveur qui expirent dans les 60 jours ont leur propre filtre et leur propre statut.
Vue de l'état
La page d'état du service liste les certificats, les listes de révocation, les proxys et SCEPman avec leur statut : valide, bientôt expiré, expiré, en ligne ou hors ligne.
Avertissements dans le portail
Le portail signale les certificats qui expirent par des notifications : le premier avertissement n'est pas un appel au support.
Ta CA avec un serveur RADIUS que tu n'as pas à exploiter
Importe ta CA dans la version d'essai, choisis comment la révocation est vérifiée et connecte ton premier appareil.