Renewal

Passer d’un certificat proche de l’expiration à un certificat réellement émis, déployé et vérifié sur le service cible.

1. Avant de renouveler

Vérifiez quatre éléments : le certificat est bien celui à gérer, le domaine appartient à l’organisation, la validation de domaine fonctionne et le fournisseur/chemin d’émission est configuré.

Un certificat découvert n’est pas automatiquement un certificat à renouveler. Utilisez les tags et le périmètre de politique pour séparer les actifs gérés des actifs simplement observés.

2. Configurer un compte DNS si nécessaire

Le formulaire de compte DNS permet de configurer le fournisseur utilisé par les validations DNS. L’interface actuelle expose notamment l’Organisation, le Type de fournisseur, un Nom, le Mode d’authentification, les données d’authentification nécessaires au fournisseur, un éventuel identifiant de zone et l’état actif.

3. Choisir ou créer une politique

Une politique Renewal décrit quand agir et quoi faire. Les propriétés métier comprennent le nom, la description, l’activation, le type de certificat, le déclencheur et sa valeur, l’action, le fournisseur, la méthode de validation, les tentatives, la pré-validation, la validation post-renouvellement, le forçage éventuel, la configuration de workflow et l’organisation.

Les déclencheurs prévus comprennent : jours avant expiration, niveau de risque, validation de domaine et manuel seulement.

Les actions prévues comprennent : renouvellement automatique, notification seulement, révision manuelle et validation de domaine.

4. Comprendre le workflow

Une politique peut contenir des étapes ordonnées. Les types d’étapes prévus comprennent :

• Validation de domaine
• Demande de certificat
• Approbation fournisseur
• Test d’installation
• Notification
• Script personnalisé

Chaque étape possède un nom, une description, une configuration, un ordre, un indicateur obligatoire/facultatif et un timeout en minutes.

Un workflow typique est : Validation du domaine → Demande de certificat → Vérification du déploiement.

5. Lancer un renouvellement

Vous pouvez exécuter les politiques actives ou lancer une politique précise immédiatement. Le système crée une entrée d’historique avant traitement et évite de créer une nouvelle exécution lorsqu’une exécution compatible est déjà en cours pour le certificat.

Le traitement s’effectue en tâche asynchrone afin que l’interface reste disponible.

6. Suivre l’historique

L’historique Renewal conserve notamment : certificat, politique, utilisateur, statut, étape courante, progression, début, fin, succès/échec, message d’erreur, ancienne/nouvelle donnée de certificat, données de validation et journal de workflow.

Utilisez la page de détail pour savoir à quelle étape le renouvellement s’est arrêté. Ne vous contentez pas du statut final.

7. Vérifier le déploiement

Après émission, Ecurem CLM peut vérifier si le certificat attendu est réellement observable sur TLS. Un certificat disponible côté fournisseur mais non encore servi par le point d’entrée peut produire un état nécessitant une validation/déploiement.

Contrôlez :

• le nom DNS interrogé ;
• le port TLS ;
• le numéro de série ou l’empreinte du nouveau certificat ;
• la chaîne servie ;
• la nouvelle date d’expiration.

8. Renouvellement groupé

Le formulaire de renouvellement groupé utilise :

• Certificats : certificats sélectionnés.
• Politique : politique appliquée.
• Forcer le renouvellement : forcer l’exécution même lorsque le déclencheur normal n’est pas atteint.

Le système lance une tâche asynchrone et redirige vers l’historique.

9. Dépannage

• Échec de validation : corrigez DNS/HTTP/compte fournisseur avant de relancer.
• Demande de certificat échouée : vérifiez fournisseur, compte, domaine et données de politique.
• Certificat disponible mais non déployé : l’émission a produit un certificat mais le service cible ne le sert pas encore.
• Déploiement non confirmé : vérifiez la cible TLS et le mécanisme d’installation.
• Aucune nouvelle exécution : une exécution peut déjà être active pour le certificat.