5.28. Procédure d’exploitation pour la révocation des certificats SIA et Personae

Cette section fait référence au chapitre Intégration d’une application externe dans Vitam.

La version 1.10.0 (« R8 ») introduit une nouvelle fonctionnalité permettant la révocation des certificats SIA et Personae afin d’empêcher des accès non autorisés aux API de la solution logicielle VITAM (vérification dans la couche https des CRL).

Le fonctionnement de la validation des certificats de la solution logicielle VITAM SIA et Personae par CRL est le suivant :

  • L’administrateur transmet à la solution logicielle VITAM le CRL d’un CA qui a émis le certificat présent dans la solution logicielle VITAM, via le point d’API suivant

    http://{{ hosts_security_internal }}:{{ vitam.security_internal.port_admin }}/v1/api/crl

Prudence

La CRL fournie doit être obligatoirement au format DER (cf. http://www.ietf.org/rfc/rfc3280.txt »>RFC 3280: Internet X.509 Public Key Infrastructure Certificate and CRL Profile)

Exemple:

curl -v -X POST -u {{ admin_basic_auth_user }}:{{ admin_basic_auth_password }}  http://{{ hosts_security_internal }}:{{vitam.security_internal.port_admin}}/v1/api/crl -H 'Content-Type: application/octet-stream' --data-binary @/path/to/crl/my.crl
  • Le paramètre adminUser correspond à la valeur admin_basic_auth_user déclarée dans le fichier deployment/environments/group_vars/all/advanced/vitam_security.yml
  • Le paramètre adminPassword correspond à la valeur admin_basic_auth_password déclarée dans le fichier deployment/environments/group_vars/all/main/vault-vitam.yml
  • Le système va contrôler tous les certificats (collections identity.Certificate et identity.PersonalCertificate) émis par le IssuerDN correspondant à la CRL, en vérifiant si ces derniers sont révoqués ou non. Si c’est le cas, alors la solution logicielle VITAM positionne le statut du certificat révoqué à REVOKED. Cela a pour conséquence le rejet de tout accès aux API VITAM avec utilisation du certificat révoqué (les filtres de sécurité émettront des exceptions dans les journaux de log).
  • Une alerte de sécurité est émise dans les journaux en cas de révocation.

Prudence

La révocation d’un certificat peut également se faire via l’utilisation du playbook revoke_certificate.yml dans ansible-vitam-exploitation. Le playbook s’appelle de la manière suivante: ansible-playbook -i environments/<your_host_file> ansible-vitam-exploitation/revoke_certificate.yml –vault-password-file vault_pass.txt -e crl_file= »<your_crl_file_path> »