Partenaire technologique · Application delivery
F5 BIG-IP
Gestion du cycle de vie des certificats pour votre parc F5® BIG-IP® Local Traffic Manager™ (LTM), sans jamais casser la production. PKIFactor complète la F5® Application Delivery and Security Platform (ADSP) : F5 ADSP délivre et sécurise les applications, PKIFactor gouverne le cycle de vie des certificats sur lesquels elles reposent.
Validé en conditions réelles sur BIG-IP VE 17.5.1.8, en paire HA. Le connecteur F5 BIG-IP est inclus dans toutes les éditions PKIFactor.
Intégration
Ce que recouvre l'intégration
PKIFactor découvre ce que vos BIG-IP servent réellement, décide si une écriture est sûre, puis déploie les certificats, la clé privée naissant sur l'équipement ou dans son HSM, sur les profils client-ssl, server-ssl et forward-proxy CA, depuis n'importe quelle AC émettrice, sous une politique unique.
Ce que PKIFactor fait sur BIG-IP
- Lit les virtual servers, les profils client-ssl et server-ssl et les certificats servis (numéro de série, SPKI) : une découverte en lecture seule
- Installe les objets certificat, clé et chaîne, puis repointe le profil SSL, le tout dans une seule transaction iControl
- Génère la clé et la CSR sur l'équipement (garde logicielle, FIPS embarqué ou HSM réseau)
- Sauvegarde la configuration (save sys config) et déclenche le config-sync vers le device group
- Lit les options TLS et les chaînes de chiffrement des profils client-ssl pour établir la posture
Ce qu'il ne fait pas
- Ne crée, ne modifie ni ne supprime aucun virtual server
- N'écrit pas le magasin de confiance (ca-file) des profils server-ssl : inventaire et notation uniquement
- Ne touche ni aux iRules, ni aux déclarations AS3, ni aux iApps
- N'écrase jamais un profil géré par AS3 ou une iApp, ni un profil servant un certificat tiers ou ayant dérivé, sans une adoption explicite et auditée
- N'écrit jamais sur une unité en standby : suit le membre actif de la paire et refuse si le pair actif est injoignable
Architecture
Comment les deux se parlent
CLM
PKIFactor CLM
- Émission multi-AC et politique
- Orchestrateur de déploiement sûr
- Inventaire cryptographique (CBOM)
- Audit et RBAC
Une seule politique pour
les AC privées et publiques
iControl REST, sans agent
SOAP pour les installations à privilèges minimaux
lecture seule, rapprochement par numéro de série et SPKI
Équipement
F5 BIG-IP
- client-ssl · server-ssl · forward-proxy CA
- Paire HA, membre actif suivi
Rotation sans interruption en une transaction,
configuration sauvegardée et synchronisée
Clé sur l'équipement
FIPS embarqué ou HSM réseau (PKCS#11)
les clés naissent ici et n'en sortent pas
Schéma à étiquettes textuelles uniquement. REST d'abord : iControl REST vers le plan de gestion. iControl SOAP seulement pour les installations à privilèges minimaux et la relecture de la CSR et du SPKI.
Fonctionnement
Cinq étapes, de la découverte du parc à l'attestation signée
Chaque étape lit l'équipement avant d'agir dessus. Rien ne bouge sans une lecture en direct, une décision de politique et une trace d'audit.
Étape 1
Découvrir
Virtual server, profil SSL, certificat servi : le parc tel qu'il est, en lecture seule.
- Rapprochement par numéro de série normalisé, puis par SPKI
- Rattachement par AC émettrice en cinq catégories : géré, tiers, non vérifié, auto-signé, inconnu
- Reconcile-all est une simulation par défaut : zéro écriture tant que rien n'est confirmé
Étape 2
Juger
Un moteur de politique pur choisit l'unique action sûre à partir d'un contrôle de risque en direct.
- Rayon d'impact, VIP partagée par SNI, certificat hérité
- Propriétaire du certificat, garde de la clé, périmètre RBAC, propriété de la configuration
- Ignorer, préparer, déployer, faire tourner, suspendre ou bloquer
Étape 3
Gouverner
Les équipes qui exploitent l'équipement gardent le dernier mot.
- Digest quotidien de ce qui bougera sous 7 jours (90 pour les AC tierces)
- Veto en mettant un binding en pause, motif enregistré
- Politique d'émission à quatre yeux, périmètre par équipe, audit à chaque écriture
Étape 4
Déployer
Objets versionnés, une seule transaction, profil repointé, puis sauvegarde et synchronisation.
- Clé née sur l'équipement ou dans son HSM, jamais exportée
- La rotation à clé constante garde le SPKI stable pour les pairs qui l'épinglent
- Membre actif suivi sur les paires HA
Étape 5
Attester
Une posture par équipement, pas seulement des dates d'expiration.
- CBOM par équipement (CycloneDX 1.7)
- Version TLS minimale et verdict sur les chiffrements faibles, profil client-ssl par profil
- Attestation de posture signée (ML-DSA-65) côté CLM
Couverture
Trois rôles TLS sur l'équipement
La plupart des outils s'arrêtent au certificat serveur. Sur BIG-IP, trois rôles de certificat comptent, et chacun a son propre garde-fou.
| Rôle | Ce qu'est le certificat | Garde de la clé | Garde-fou |
|---|---|---|---|
| client-ssl | Certificat serveur présenté aux clients entrants (certKeyChain) | Clé sur l'équipement ou clé poussée. Rotation sans interruption par objets versionnés | Certificat en place tiers ou ayant dérivé protégé. Profil vierge sur /Common/default.crt reconnu |
| server-ssl | Certificat client que le BIG-IP présente en mTLS sortant vers un backend ou un service externe. Comble le vide laissé par les AC publiques qui abandonnent l'EKU clientAuth | Clé sur l'équipement ou clé poussée. C'est l'équipement qui signe le handshake, la clé doit donc résider dessus | Contrôle d'EKU : un modèle qui exclut explicitement clientAuth est refusé. Magasin de confiance en lecture seule, noté pour la posture |
| forward-proxy CA | AC d'inspection avec laquelle le BIG-IP forge des certificats par site pour l'inspection TLS sortante (certKeyChain usage:CA + sslForwardProxy) | Clé sur l'équipement recommandée. Entrée SERVER préservée à la rotation | Refuse tout certificat qui n'est pas une AC (basicConstraints CA:TRUE obligatoire) |
Orchestrateur sûr
Situation lue sur l'équipement, décision prise
PKIFactor ne déploie jamais à l'aveugle. Avant d'écrire, il lit ce que le profil sert réellement et décide d'après l'état vivant de l'équipement, pas d'après une base de données.
| Situation lue sur l'équipement | Décision | Pourquoi |
|---|---|---|
| Le profil sert un certificat tiers (autre AC) | Bloque | une identité partenaire n'est jamais écrasée |
| Dérive hors bande (l'équipement diffère de ce que PKIFactor a déployé) | Suspend | changement manuel délibéré ou incident : alerter, ne pas écraser |
| Clé FIPS ou HSM sur le profil, avec une garde en clé poussée | Bloque | clé non exportable, la garde doit rester sur l'équipement |
| Compte de service hors du périmètre RBAC de la partition | Bloque | l'écriture renverrait un 403 en pleine transaction ; autant le dire avant |
| Profil géré en IaC (AS3 ou iApp) | Bloque | une écriture hors bande serait effacée au prochain déploiement de l'outil |
| VIP partagée, SNI ou certificat hérité | Supervise | bascule supervisée, rayon d'impact plus large qu'un seul profil |
| Profil neuf servant le certificat de substitution /Common/default.crt | Déploie | profil vierge reconnu, premier déploiement autorisé |
L'adoption, ou reprise en main, est une action délibérée, auditée et ponctuelle qui ne lève que la protection de l'existant (blocage sur certificat tiers, suspension sur dérive). Les incompatibilités dures et les sécurités de topologie restent en vigueur. La console ne propose que les actions que le backend accepterait.
Automatisation
Un seul réglage pour l'exploitant : niveau d'automatisation et garde de la clé
Défini par équipement, surchargeable par binding. L'API conserve deux champs internes, le mode de livraison et le renouvellement automatique, projetés depuis le niveau que vous choisissez.
| Niveau | Garde de la clé | Ce que fait PKIFactor | Renouvelle seul à J-X |
|---|---|---|---|
| Full auto | Clé sur l'équipement | Re-provisionne la clé et la CSR sur l'équipement à J-X, la fait signer, installe et repointe. Le re-provisionnement vaut mise en service | Oui |
| Full auto | Clé poussée | Émet, pousse certificat, clé et chaîne, repointe, sauvegarde et synchronise. Sans intervention | Oui |
| Install | Clé poussée | Émet et installe les objets renouvelés en attente, sans les activer. C'est l'exploitant qui active | Oui, en attente |
| ACME (avancé) | Clé sur l'équipement | L'équipement se renouvelle lui-même auprès du point d'entrée ACME de PKIFactor. PKIFactor supervise : inventaire, dérive, digest | L'équipement s'en charge |
| Provide | Clé poussée | Rien n'est écrit sur l'équipement. Le certificat renouvelé est mis à disposition pour récupération | Aucune écriture |
Renouvellement et exploitation
Conçu pour le jour où quelque chose tourne mal
Moteur de renouvellement
- Worker horaire à J-X, seuil par défaut J-30, plafonné au tiers de la durée de vie d'un certificat court
- Budget de latence par AC émettrice : les AC publiques partent 5 jours plus tôt, les AC locales signent de façon synchrone
- Heure de maintenance respectée, avec une tolérance de 2 jours en approche d'expiration qui prime sur la fenêtre
- Mémoire des échecs avec backoff exponentiel de 1 heure à 24 heures. Un renouvellement déjà émis est redéployé, pas réémis
- Jobs de déploiement persistés : un job orphelin après redémarrage est rejoué au tick suivant, jusqu'à 5 tentatives
- Les destinataires d'avis (pairs qui épinglent, partenaires mTLS) sont prévenus à l'avance et peuvent opposer leur veto. Ils ne reçoivent jamais de clé privée
Sécurité d'exploitation
- Compte de service resource-admin avec installation SOAP : le cycle complet sans transfert de fichier et sans le rôle Administrator sur ce chemin
- Sonde de périmètre de partition au test de connexion : un compte plus large que la partition dans laquelle il écrit est signalé
- Suit le membre actif quand l'hôte configuré est en standby. Refuse si le pair actif est injoignable ou si le device group n'est pas synchronisé
- Transaction iControl avec rollback sur le chemin REST. Objets importés par SOAP annulés si le repointage échoue
- save sys config après chaque commit, puis config-sync et attente de convergence. Une non-convergence est signalée, jamais ignorée
- Trace d'audit à chaque écriture : acteur, ressource, action, résultat, et le motif quand il y en a un. Aucun secret n'est jamais journalisé
Périmètre
Prérequis, limites et maturité, dits clairement
- Validé sur BIG-IP VE 17.5.1.8. La CSR sur l'équipement via REST requiert BIG-IP 14.1 ou ultérieur.
- Plan de gestion joignable en HTTPS 443, certificat de gestion vérifié ou épinglé.
- iControl SOAP activé pour les installations à privilèges minimaux, la relecture de la CSR et le SPKI du certificat servi.
- La garde FIPS ou HSM réseau requiert le module FIPS ou External-HSM licencié et actif sur l'équipement.
- Le magasin de confiance des profils server-ssl est en lecture seule : PKIFactor inventorie et note le bundle d'AC, il ne l'écrit pas.
- Post-quantique : PKIFactor prépare la migration côté CLM, avec l'inventaire cryptographique (CBOM) et une stratégie à double certificat. Servir des certificats post-quantiques sur BIG-IP dépend du support de la plateforme.
Éprouvé en conditions réelles sur F5
Découverte du parc, réconciliation en simulation et rattachement de certificats tiers. Provisionnement de clé sur l'équipement en garde logicielle avec CSR REST. resource-admin avec installation SOAP. Déploiements server-ssl et forward-proxy CA. Rotation sans interruption. Suivi du membre actif sur une paire HA. Posture : TLS minimal, chiffrements faibles, CBOM.
Écrit et testé unitairement, en attente de matériel
Garde FIPS embarquée et HSM réseau : la partition HSM est vue depuis la VE, la génération de clé de bout en bout attend un équipement physique. Config-sync HA sur un device group à plusieurs membres, au-delà d'une paire de lab.
Ressources
Pour aller plus loin
Solution brief · 2 pages
PKIFactor pour F5 BIG-IP
Le positionnement, le problème, ce que fait PKIFactor, quatre capacités vérifiables.
PDF, en anglais
Fiche technique · 5 pages
Fiche technique du connecteur
Ce qu'il fait et ne fait pas, les trois rôles TLS, le modèle d'automatisation et de garde, l'orchestrateur sûr, la sécurité d'exploitation.
PDF, en anglais
Guide de déploiement · 10 pages
Guide de déploiement illustré
Le parcours écran par écran, capturé en direct sur une paire BIG-IP VE en haute disponibilité.
PDF, en anglais
Une démo de 30 minutes sur votre paire BIG-IP
La découverte de votre parc, une rotation sans interruption, une écriture refusée. Sur vos équipements, avec un compte resource-admin.
F5, BIG-IP, Local Traffic Manager, and iControl are trademarks, service marks, or trade names of F5, Inc., in the U.S. and other countries. PKIFactor is a product of ZetaCert.