إدارة شهادات توقيع المصادقة

تُستخدم صفحة Certificates (الشهادات) في إدارة الهوية الموحدة لإدارة مفاتيح توقيع المصادقة. يستطيع موفر المصادقة اختيار مفتاح توقيع متاح. إنشاء المفتاح وضبط الموفر والتحقق من التطبيق خطوات منفصلة؛ ظهور عنصر في القائمة لا يثبت اكتمال تكامل التطبيق.

الشهادة القابلة للتنزيل موقعة ذاتياً؛ لا تُعد صادرة عن جهة موثوقة عامة ولا تعادل شهادة خادم HTTPS لموقع ويب. على مسؤول التطبيق تأكيد كيفية ثقته بنتائج المصادقة والتحقق منها وفق التكامل الفعلي.

تستخدم التعليمات مسميات الواجهة الإنجليزية التي جرى التحقق منها، مع شرح بالعربية.

الاستعداد

• تأكد من صلاحية المسؤول لعرض إعدادات الهوية الموحدة وإدارتها. قد تختلف صلاحيات الإنشاء والحذف.
• حدد غرض المفتاح وتوافق الخوارزمية ومدة الصلاحية والموفرين والتطبيقات المعتمدة عليه. جهّز حساب اختبار مضبوطاً ونافذة تغيير وخطة استعادة.
• المفتاح الخاص من بيانات الاعتماد شديدة الحساسية. لا تنزّله إلا عند الحاجة وبعد التصريح؛ خزّنه وانقله ونظّف نسخه وفق إجراءات آمنة معتمدة من المؤسسة. لا تلصقه في تذاكر الدعم أو المحادثات أو المواد العامة.

إنشاء مفتاح توقيع واختياره

1. IAM > Authentication Configuration > Certificates: في إعدادات المصادقة لإدارة الهوية الموحدة افتح Certificates واختر Create (إنشاء).
2. أدخل الاسم وValidity Days (أيام الصلاحية)، واختر Key Type (نوع المفتاح). تعرض الصفحة RSA وECDSA؛ تحقق أولاً من الخوارزميات التي يدعمها التطبيق المتكامل.
3. لتحديد انتهاء واضح للمفتاح أدخل عدداً صحيحاً موجباً من الأيام واحفظ. لا يحدد 0 تاريخ انتهاء واضحاً للمفتاح. حتى دون انتهاء للمفتاح، للشهادة المنزلة مدة صلاحية مستقلة؛ تحقق من الشهادة الفعلية.
4. تحقق من الاسم والنوع والانتهاء في القائمة. العودة إلى القائمة وحدها لا تثبت نجاح الإنشاء؛ إذا غاب العنصر أو تعطل الطلب فاتصل بالمسؤول.
5. افتح موفر المصادقة الذي سيستخدم المفتاح. ضمن Protocol Settings (إعدادات البروتوكول) اختر Signing Key (مفتاح التوقيع)، وتحقق من بقية إعدادات التكامل ثم احفظ. تحتوي القائمة على المفاتيح المتاحة وغير المنتهية فقط. إذا غاب المفتاح الجديد فأعد فتح الإعداد وتحقق من حالته وانتهائه.
6. اضبط الثقة في جانب التطبيق حسب متطلبات مسؤوله، واستخدم حساباً تجريبياً لاختبار تسجيل الدخول ونتيجة المصادقة في بيئة مضبوطة. تحقق من الموفر وإذن وصول التطبيق وإعداد التطبيق كلّاً على حدة؛ الحفظ وحده لا يثبت عمل المصادقة.

العرض والتنزيل

1. حدد العنصر في قائمة الشهادات ووسّع صفه لعرض موضوع الشهادة وبصماتها.
2. اختر عند الحاجة Download Certificate (تنزيل الشهادة) أو Download Key (تنزيل المفتاح). يصدّر الأول الشهادة، ويصدّر الثاني المفتاح الخاص الذي يتطلب إدارة أكثر صرامة لبيانات الاعتماد. تحقق من المستلم والغرض وسلامة الملف قبل التسليم.
3. تُنشئ صفحة التفاصيل وعملية التنزيل شهادتين كلٌّ على حدة، لذا قد تختلف بصمة الصفحة عن بصمة ملف نُزّل لاحقاً. تحقق من الملف الفعلي الذي ستسلمه، ولا تستبدل ذلك ببصمة الصفحة السابقة.

ملف المفتاح الخاص المُنزّل غير مشفّر بحد ذاته؛ لا تفترض أن فتح الملف يتطلب كلمة مرور. قبل التنزيل، تأكد من موقع تخزين خاضع للرقابة ومن المستلم المقصود. قيّد الوصول إلى الملف ونسخه، وانقلها بطريقة آمنة معتمدة من المؤسسة، وتخلص منها وفق السياسة عند انتفاء الحاجة إليها.

الاستبدال والحذف

• تعديل الاسم: يغيّر التعديل الاسم فقط ولا ينشئ مفتاحاً جديداً أو يكمل تدوير المفتاح. تحقق من القائمة بعد الحفظ.
• استبدال المفتاح: أنشئ مفتاحاً جديداً وتحقق من توافق التطبيق. ضمن تغيير مضبوط عدّل اختيار الموفر وثقة جانب التطبيق، ثم اختبر تسجيل الدخول ونتائج المصادقة الفعلية. حدد مدة الاحتفاظ بالمفتاح القديم ووقت تنظيفه حسب الحاجة إلى التحقق من النتائج الحالية وقواعد المؤسسة.
• حذف المفتاح: تأكد أولاً من عدم اعتماد أي موفر أو تطبيق عليه وأكمل النقل والتحقق. قد يسبب الحذف فشل إصدار المصادقة أو التحقق منها؛ لا تفترض التبديل التلقائي أو إمكانية استعادة المفتاح.

توافق الخوارزميات: يقابل RSA في الصفحة RS256، ويقابل ECDSA ‏ES256. ينبغي للتطبيق التحقق من خوارزمية التوقيع والمفتاح العام وفق إعداد التكامل الفعلي. تعلن معلومات اكتشاف المصادقة الحالية عن RS256؛ وإتاحة اختيار ECDSA في الصفحة لا تعني أن التطبيق سيقبل ES256 تلقائياً عبر الاكتشاف. إذا لزم ECDSA، فتحقق أولاً من الإصدار والتحقق الفعليين مع مسؤول التطبيق؛ وعند عدم التأكد، قيّم إمكان استخدام RSA.

التحقق من المصادقة القائمة عند تدوير المفتاح: عند اختيار مفتاح جديد لموفر المصادقة، يتغير المفتاح العام المنشور للتطبيقات. حتى إذا بقي المفتاح القديم في قائمة الشهادات، فلا تفترض أن الموفر سيواصل نشر المفتاح العام القديم بالتزامن. قد تتأثر التطبيقات التي تحتاج المفتاح القديم للتحقق من نتائج مصادقة لم تنته صلاحيتها. قبل التغيير، أكد مع مسؤول التطبيق مدة صلاحية النتائج الحالية وطريقة جلب المفاتيح العامة وتخزينها مؤقتاً وترتيبات الانتقال الممكنة. بعد التغيير، اختبر المصادقة الجديدة والنتائج القديمة التي لا تزال صالحة كلّاً على حدة. لا يكفي الاحتفاظ بالمفتاح القديم أو نجاح تسجيل دخول جديد لإثبات اكتمال التدوير.

استكشاف المشكلات

• تعذر الإنشاء أو غاب العنصر: تحقق من الاسم وأيام الصلاحية ونوع المفتاح والصلاحيات، ثم أعد فحص القائمة واتبع إرشادات الصفحة.
• تعذر اختيار المفتاح في الموفر: تحقق من إتاحته وانتهائه وإعداد الموفر؛ أعد فتح الإعداد أو اتصل بالمسؤول عند الحاجة.
• لم يتغير المفتاح بعد التعديل: التعديل يغيّر الاسم فقط؛ يتطلب الاستبدال مفتاحاً جديداً وتعديل الموفر والتحقق من التطبيق.
• فشلت المصادقة أو مطابقة التوقيع: تحقق من اختيار الموفر وصلاحية المفتاح وثقة التطبيق وإذن الوصول، ثم افحص التكامل الفعلي.
• اختلفت بصمة التفاصيل عن الملف المنزّل: افحص الملف الفعلي المسلم؛ لا تحل التفاصيل محل التحقق من الملف.