Gérer les certificats de signature d'authentification

La page Certificates (certificats) de la gestion des identités unifiée gère les clés de signature d'authentification. Un fournisseur peut sélectionner une clé disponible. Créer une clé, configurer le fournisseur et vérifier l'application sont des étapes distinctes ; une entrée dans la liste ne prouve pas que l'intégration est terminée.

Le certificat téléchargeable est auto-signé. Il ne doit pas être considéré comme émis par une autorité publiquement reconnue ni confondu avec le certificat serveur HTTPS d'un site. Le responsable de l'application doit confirmer comment celle-ci fait confiance aux résultats d'authentification et les vérifie selon l'intégration réelle.

Les libellés anglais ci-dessous correspondent à l'interface vérifiée et sont accompagnés d'explications en français.

Préparation

• Vérifiez les droits de consultation et de gestion de la configuration d'identité. La création et la suppression peuvent nécessiter des droits différents.
• Déterminez l'usage de la clé, la compatibilité de l'algorithme, sa validité et les fournisseurs et applications dépendants. Préparez un compte de test contrôlé, une fenêtre de changement et un plan de restauration.
• Une clé privée est un secret très sensible. Téléchargez-la seulement si nécessaire et autorisé ; stockez, transmettez et éliminez les copies selon les procédures sûres de l'organisation. Ne la collez pas dans un ticket, une conversation ou un document public.

Créer et sélectionner une clé de signature

1. IAM > Authentication Configuration > Certificates: Dans la configuration d'authentification de la gestion des identités, ouvrez Certificates, puis choisissez Create (créer).
2. Saisissez le nom et Validity Days (jours de validité), puis choisissez Key Type (type de clé). RSA et ECDSA sont proposés ; vérifiez d'abord les algorithmes pris en charge par l'application intégrée.
3. Pour fixer une expiration de clé, saisissez un nombre entier positif de jours et enregistrez. 0 ne fixe pas de date d'expiration précise pour la clé. Même sans expiration de clé, le certificat téléchargé possède sa propre période de validité : contrôlez le certificat réel.
4. Dans la liste, vérifiez le nom, le type et l'expiration. Le simple retour à la liste ne prouve pas la création. Si l'entrée manque ou si la requête échoue, contactez l'administrateur.
5. Ouvrez le fournisseur d'authentification concerné. Dans Protocol Settings (paramètres du protocole), choisissez Signing Key (clé de signature), vérifiez les autres paramètres d'intégration et enregistrez. La liste ne contient que les clés disponibles et non expirées. Si la nouvelle clé manque, rouvrez la configuration et vérifiez son état et son expiration.
6. Configurez la confiance côté application selon les exigences du responsable. Avec un compte pilote, vérifiez dans un cadre contrôlé la connexion et le résultat d'authentification. Contrôlez séparément fournisseur, autorisation d'accès et configuration applicative ; l'enregistrement seul ne prouve pas le fonctionnement.

Consulter et télécharger

1. Repérez l'entrée dans la liste et développez sa ligne pour voir le sujet et les empreintes du certificat.
2. Choisissez au besoin Download Certificate (télécharger le certificat) ou Download Key (télécharger la clé). Le premier exporte le certificat, le second la clé privée, soumise à des règles de gestion des secrets plus strictes. Avant transmission, vérifiez destinataire, usage et intégrité du fichier.
3. La vue détaillée et le téléchargement génèrent des certificats séparément ; l'empreinte affichée peut différer de celle d'un fichier téléchargé ensuite. Vérifiez le fichier effectivement transmis plutôt qu'une empreinte affichée auparavant.

Le fichier de clé privée téléchargé n’est pas chiffré en lui-même : ne supposez pas qu’un mot de passe est nécessaire pour l’ouvrir. Avant le téléchargement, confirmez un emplacement de stockage contrôlé et le destinataire. Limitez l’accès au fichier et à ses copies, transmettez-les par un moyen sûr approuvé par l’organisation et supprimez-les selon les règles lorsqu’ils ne sont plus nécessaires.

Remplacer et supprimer

• Modifier le nom : l'action de modification ne change que le nom ; elle ne crée pas de clé et n'effectue pas de rotation. Vérifiez la liste après enregistrement.
• Remplacer une clé : créez la nouvelle clé et vérifiez la compatibilité applicative. Lors d'un changement contrôlé, modifiez la sélection du fournisseur et la confiance côté application, puis vérifiez la connexion et les résultats d'authentification. Déterminez la conservation et la suppression de l'ancienne clé selon les besoins de vérification existants et les règles de l'organisation.
• Supprimer une clé : assurez-vous d'abord qu'aucun fournisseur ni application n'en dépend encore et terminez migration et vérification. La suppression peut provoquer un échec d'émission ou de vérification ; ne supposez ni bascule automatique ni restauration de la clé.

Compatibilité des algorithmes : RSA sur la page correspond à RS256 et ECDSA à ES256. L’application doit vérifier l’algorithme de signature et la clé publique selon son intégration réelle. Les informations actuelles de découverte d’authentification annoncent RS256 ; la disponibilité d’ECDSA sur la page ne signifie pas que l’application acceptera automatiquement ES256 via la découverte. Si ECDSA est nécessaire, vérifiez d’abord l’émission et la validation réelles avec le responsable de l’application ; en cas de doute, évaluez l’utilisation de RSA.

Vérifier les authentifications existantes lors de la rotation : lorsque le fournisseur passe à une nouvelle clé, la clé publique publiée pour les applications change. Même si l’ancienne clé reste dans la liste des certificats, ne supposez pas que le fournisseur la publie encore simultanément. Les applications qui en ont besoin pour vérifier des résultats d’authentification non expirés peuvent être affectées. Avant le changement, confirmez avec leur responsable la durée de validité des résultats existants, les modalités de récupération et de mise en cache des clés publiques et une transition adaptée. Testez ensuite séparément les nouvelles authentifications et les anciens résultats encore valides. La conservation de l’ancienne clé ou une nouvelle connexion réussie ne suffit pas à prouver la fin de la rotation.

Dépannage

• Création impossible ou entrée absente : vérifiez nom, jours de validité, type de clé et droits, puis contrôlez la liste et les indications de la page.
• Clé impossible à sélectionner : vérifiez disponibilité, expiration et configuration du fournisseur ; rouvrez la configuration ou contactez l'administrateur.
• Clé inchangée après modification : seule son étiquette a changé. Le remplacement nécessite une nouvelle clé, une modification du fournisseur et une vérification applicative.
• Échec d'authentification ou de vérification : contrôlez la sélection du fournisseur, la validité de la clé, la confiance côté application et l'autorisation d'accès, puis examinez l'intégration réelle.
• Empreintes différentes : vérifiez le fichier réellement transmis ; la vue détaillée ne remplace pas cette vérification.