Quản lý chứng chỉ nội bộ (Internal PKI) – Microsoft CA, Vault, Smallstep, EJBCA

Trong doanh nghiệp, không chỉ website public mới cần SSL/TLS, mà các hệ thống nội bộ (VPN, API, Kubernetes, AD, Wi-Fi, IoT) cũng cần chứng chỉ số để xác thực và mã hóa. Thay vì mua từ CA thương mại, doanh nghiệp có thể triển khai Internal PKI (Public Key Infrastructure) để tự cấp phát & quản lý chứng chỉ.

Dưới đây là các giải pháp phổ biến nhất hiện nay:

Microsoft Active Directory Certificate Services (AD CS)

Ưu điểm: Tích hợp chặt chẽ với Windows domain, hỗ trợ auto-enrollment cho các thiết bị domain-joined.
Triển khai nhanh cho môi trường Microsoft-centric.
Ví dụ cài đặt Enterprise CA:

Install-AdcsCertificationAuthority -CAType EnterpriseRootCA

Hỗ trợ Group Policy, dễ quản lý cert cho PC/Server trong AD.

HashiCorp Vault PKI

Mạnh về dynamic secret: phát hành chứng chỉ short-lived (7–30 ngày).
Dễ tích hợp với DevOps & microservices.
Tự động hóa qua API, hạn chế rủi ro key/cert bị lộ dài hạn.
Ví dụ cấp cert động:

vault write pki/issue/corp-dot-local common_name="app.corp.local"

Smallstep CA

Nhẹ và hiện đại, dễ tích hợp Kubernetes & cloud-native.
Hỗ trợ step-ca + cert-manager để auto-issue cert cho pod/service.
Ví dụ cấp cert:

step ca certificate app.corp.local app.crt app.key

Phù hợp cho startup, team DevOps nhỏ, hoặc môi trường hybrid cloud.

EJBCA

Enterprise-grade CA, lâu đời và mạnh mẽ.
Hỗ trợ OCSP, CRL, SCEP, ACME → phù hợp môi trường phức tạp.
Tích hợp tốt với hệ thống lớn (telco, chính phủ, ngân hàng).
Khó triển khai hơn Smallstep/Vault, nhưng khả năng mở rộng cao.

Best Practices Internal PKI 2025

Để vận hành hệ thống PKI an toàn và hiệu quả:

Root CA offline, Intermediate CA online
- Root CA chỉ để ký Intermediate, lưu trữ offline để giảm nguy cơ compromise.
- Intermediate CA xử lý cấp phát thực tế.
TTL ngắn cho chứng chỉ (30–90 ngày)
- Giảm nguy cơ khi cert bị lộ.
- Kết hợp auto-renew (Vault, cert-manager, ACME).
Revocation nhanh
- Bật CRL (Certificate Revocation List) và OCSP stapling để thu hồi cert kịp thời.
Thuật toán & Key size
- RSA ≥ 2048 bit hoặc ECC (P-256, P-384).
- Ưu tiên ECC cho hiệu năng & bảo mật lâu dài.
Monitoring & Alerting
- Giám sát expiry cert bằng Prometheus + Grafana hoặc cron job.
- Cảnh báo trước 10–15 ngày khi chứng chỉ sắp hết hạn.
Policy & Governance
- Xác định rõ ai được cấp cert, cho mục đích gì.
- Audit log toàn bộ cấp phát, renew, revoke.