# จัดการใบรับรองลายเซ็นสำหรับการยืนยันตัวตน

Canonical: https://www.nsecsoft.com/th/docs/ping64-identity-access/iam/authentication/manage-signing-certificates/

Language: th-TH

Updated: 2026-11-15T04:10:35.389952Z

**Certificates** (ใบรับรอง) ในการจัดการอัตลักษณ์รวมใช้จัดการกุญแจลายเซ็นสำหรับการยืนยันตัวตน ผู้ให้บริการยืนยันตัวตนสามารถเลือกกุญแจที่ใช้ได้ การสร้างกุญแจ ตั้งค่าผู้ให้บริการ และตรวจสอบแอปเป็นคนละขั้นตอน การมีรายการในหน้าจอไม่ได้หมายความว่าแอปเชื่อมต่อการยืนยันตัวตนเสร็จแล้ว

ใบรับรองที่ดาวน์โหลดเป็นใบรับรองลงนามด้วยตนเอง ไม่ควรถือว่าออกโดยหน่วยงานที่เชื่อถือได้สาธารณะ และไม่ใช่ใบรับรองเซิร์ฟเวอร์ HTTPS ของเว็บไซต์ ผู้รับผิดชอบแอปต้องยืนยันวิธีสร้างความเชื่อถือและตรวจสอบผลการยืนยันตัวตนตามการเชื่อมต่อจริง

ชื่อปุ่มและช่องต่อไปนี้ใช้ป้ายภาษาอังกฤษที่ตรวจสอบแล้วพร้อมคำอธิบายภาษาไทย

## การเตรียมการ

-   ตรวจสอบว่าผู้ดูแลมีสิทธิ์ดูและจัดการการตั้งค่าอัตลักษณ์รวม การสร้างและการลบอาจใช้สิทธิ์ต่างกัน
-   กำหนดวัตถุประสงค์ ความเข้ากันได้ของอัลกอริทึม ระยะเวลาที่มีผล และผู้ให้บริการกับแอปที่พึ่งพากุญแจ เตรียมบัญชีทดสอบแบบควบคุม ช่วงเวลาเปลี่ยนแปลง และแผนกู้คืน
-   กุญแจส่วนตัวเป็นข้อมูลรับรองที่อ่อนไหวสูง ดาวน์โหลดเฉพาะเมื่อจำเป็นและได้รับอนุญาต จัดเก็บ ส่ง และลบสำเนาตามวิธีปลอดภัยที่องค์กรอนุมัติ ห้ามวางในทิกเก็ต แชต หรือเอกสารสาธารณะ

## สร้างและเลือกกุญแจลายเซ็น

1.  **IAM > Authentication Configuration > Certificates**: ในการตั้งค่าการยืนยันตัวตนของระบบอัตลักษณ์รวม เปิด **Certificates** และเลือก **Create** (สร้าง)
2.  ระบุชื่อและ **Validity Days** (จำนวนวันที่มีผล) แล้วเลือก **Key Type** (ชนิดกุญแจ) มี RSA และ ECDSA ให้เลือก โดยตรวจสอบการรองรับของแอปก่อน
3.  หากต้องการกำหนดวันหมดอายุของกุญแจอย่างชัดเจน ให้ป้อนจำนวนวันเป็นจำนวนเต็มบวกแล้วบันทึก ค่า `0` ไม่กำหนดวันหมดอายุที่ชัดเจนของกุญแจ แม้กุญแจไม่มีวันหมดอายุ ใบรับรองที่ดาวน์โหลดยังมีช่วงเวลาที่มีผลของตนเอง ให้ตรวจสอบใบรับรองจริง
4.  กลับไปตรวจสอบชื่อ ชนิด และวันหมดอายุในรายการ การกลับสู่รายการเพียงอย่างเดียวไม่ยืนยันว่าการสร้างสำเร็จ หากไม่พบรายการหรือคำขอผิดปกติให้ติดต่อผู้ดูแล
5.  เปิด[ผู้ให้บริการยืนยันตัวตน](https://www.nsecsoft.com/th/docs/ping64-identity-access/iam/authentication/configure-authentication-provider/)ที่ต้องใช้กุญแจ ใน **Protocol Settings** (ตั้งค่าโปรโตคอล) เลือก **Signing Key** (กุญแจลายเซ็น) ตรวจสอบค่าการเชื่อมต่ออื่นแล้วบันทึก รายการเลือกมีเฉพาะกุญแจที่ใช้ได้และยังไม่หมดอายุ หากไม่พบกุญแจใหม่ให้เปิดการตั้งค่าอีกครั้งและตรวจสอบสถานะกับวันหมดอายุ
6.  ตั้งค่าความเชื่อถือฝั่งแอปตามข้อกำหนดของผู้รับผิดชอบ แล้วใช้บัญชีนำร่องทดสอบการเข้าสู่ระบบและผลการยืนยันตัวตนแบบควบคุม ตรวจสอบผู้ให้บริการ สิทธิ์เข้าถึงแอป และการตั้งค่าของแอปแยกกัน การบันทึกสำเร็จไม่ยืนยันว่าการยืนยันตัวตนใช้งานได้

## ดูและดาวน์โหลด

1.  ค้นหารายการในหน้าใบรับรองและขยายแถวเพื่อดูชื่อเจ้าของใบรับรองและลายนิ้วมือ
2.  เลือก **Download Certificate** (ดาวน์โหลดใบรับรอง) หรือ **Download Key** (ดาวน์โหลดกุญแจ) ตามความจำเป็น ตัวเลือกแรกส่งออกใบรับรอง ตัวเลือกหลังส่งออกกุญแจส่วนตัวซึ่งต้องจัดการเข้มงวดกว่า ก่อนส่งมอบให้ตรวจสอบผู้รับ วัตถุประสงค์ และความสมบูรณ์ของไฟล์
3.  หน้ารายละเอียดและการดาวน์โหลดสร้างใบรับรองแยกกัน ลายนิ้วมือบนหน้าจออาจต่างจากไฟล์ที่ดาวน์โหลดภายหลัง ให้ตรวจสอบไฟล์ที่ส่งมอบจริงแทนการใช้ลายนิ้วมือที่เห็นก่อนหน้า

ไฟล์กุญแจส่วนตัวที่ดาวน์โหลดไม่ได้เข้ารหัสในตัว อย่าถือว่าการเปิดไฟล์ต้องใช้รหัสผ่าน ก่อนดาวน์โหลดให้ยืนยันตำแหน่งจัดเก็บที่ควบคุมได้และผู้รับ จำกัดการเข้าถึงไฟล์และสำเนา ส่งผ่านวิธีปลอดภัยที่องค์กรอนุมัติ และลบตามข้อกำหนดเมื่อไม่จำเป็นต้องใช้อีก

## เปลี่ยนและลบ

-   **แก้ไขชื่อ:** การแก้ไขเปลี่ยนเฉพาะชื่อ ไม่สร้างกุญแจใหม่หรือทำให้การหมุนเวียนกุญแจเสร็จสิ้น ตรวจสอบรายการหลังบันทึก
-   **เปลี่ยนกุญแจ:** สร้างกุญแจใหม่และตรวจสอบความเข้ากันได้ของแอป จากนั้นเปลี่ยนกุญแจที่ผู้ให้บริการเลือกและความเชื่อถือฝั่งแอปภายใต้การควบคุม แล้วตรวจสอบการเข้าสู่ระบบและผลการยืนยันตัวตน กำหนดเวลาจัดเก็บและลบกุญแจเก่าตามความจำเป็นในการตรวจสอบผลเดิมและข้อกำหนดองค์กร
-   **ลบกุญแจ:** ตรวจสอบก่อนว่าไม่มีผู้ให้บริการหรือแอปพึ่งพากุญแจแล้ว และดำเนินการย้ายพร้อมตรวจสอบให้เสร็จ การลบอาจทำให้การออกหรือการตรวจสอบผลยืนยันตัวตนล้มเหลว อย่าสมมติว่าจะสลับอัตโนมัติหรือกู้คืนกุญแจได้

**ความเข้ากันได้ของอัลกอริทึม:** RSA บนหน้าตรงกับ `RS256` และ ECDSA ตรงกับ `ES256` แอปควรตรวจอัลกอริทึมลายเซ็นและกุญแจสาธารณะตามการเชื่อมต่อจริง ข้อมูลค้นพบการยืนยันตัวตนปัจจุบันประกาศ `RS256` การเลือก ECDSA ได้บนหน้าไม่ได้หมายความว่าแอปจะยอมรับ `ES256` ผ่านข้อมูลค้นพบโดยอัตโนมัติ หากต้องใช้ ECDSA ให้ตรวจการออกและตรวจสอบจริงกับผู้รับผิดชอบแอปก่อน หากยังไม่แน่ใจให้ประเมินว่าแอปใช้ RSA ได้หรือไม่

**ตรวจการยืนยันตัวตนเดิมเมื่อหมุนเวียนกุญแจ:** เมื่อผู้ให้บริการเปลี่ยนไปเลือกกุญแจใหม่ กุญแจสาธารณะที่เผยแพร่ให้แอปจะเปลี่ยนตาม แม้กุญแจเดิมยังอยู่ในรายการใบรับรอง อย่าถือว่าผู้ให้บริการยังเผยแพร่กุญแจสาธารณะเดิมพร้อมกัน แอปที่ต้องใช้กุญแจเดิมตรวจผลการยืนยันตัวตนที่ยังไม่หมดอายุอาจได้รับผลกระทบ ก่อนเปลี่ยนให้ยืนยันอายุผลเดิม วิธีที่แอปรับและแคชกุญแจสาธารณะ และแผนเปลี่ยนผ่านกับผู้รับผิดชอบแอป หลังเปลี่ยนให้ทดสอบทั้งการยืนยันตัวตนใหม่และผลเดิมที่ยังใช้ได้ การเก็บกุญแจเดิมหรือเข้าสู่ระบบใหม่สำเร็จเพียงอย่างเดียวไม่ยืนยันว่าหมุนเวียนเสร็จ

## การแก้ไขปัญหา

-   **สร้างไม่ได้หรือไม่พบรายการ:** ตรวจสอบชื่อ จำนวนวัน ชนิดกุญแจ และสิทธิ์ ตรวจรายการซ้ำและปฏิบัติตามคำแนะนำบนหน้าจอ
-   **เลือกกุญแจในผู้ให้บริการไม่ได้:** ตรวจสอบสถานะ วันหมดอายุ และการตั้งค่าผู้ให้บริการ เปิดการตั้งค่าใหม่หรือติดต่อผู้ดูแลหากจำเป็น
-   **แก้ไขแล้วกุญแจไม่เปลี่ยน:** การแก้ไขเปลี่ยนเฉพาะชื่อ การเปลี่ยนกุญแจต้องสร้างใหม่ ปรับผู้ให้บริการ และตรวจสอบแอป
-   **การยืนยันตัวตนหรือลายเซ็นล้มเหลว:** ตรวจสอบกุญแจที่เลือก อายุ ความเชื่อถือฝั่งแอป สิทธิ์เข้าถึง และการเชื่อมต่อจริง
-   **ลายนิ้วมือในรายละเอียดกับไฟล์ต่างกัน:** ตรวจสอบไฟล์ที่ส่งมอบจริง ไม่ใช้หน้ารายละเอียดแทนการตรวจสอบไฟล์