OpenXPKI Enterprise Edition

Web-basiertes User-Interface: OpenXPKI bietet ein modernes, browserbasiertes Frontend für die Zertifikatsverwaltung. Die Oberfläche bildet den aktuellen Zustand der Workflow-Instanzen ab und unterstützt rollenbasierte Antragsteller- und Genehmiger-Prozesse. Alle gängigen Browser werden unterstützt.

Flexible Enrollment-Endpunkte: Für jeden PKI Realm können beliebig viele Enrollment-Endpunkte vom Typ SCEP, EST, ACME oder RPC konfiguriert werden. Jeder Endpunkt erhält eine eigene, feingranular konfigurierbare Enrollment-Policy — von der Authentifizierung über die Validierung bis zur Profilzuweisung.

Konfigurationsgesteuerte Workflow-Engine: Workflows werden über YAML-basierte Konfigurationsdateien definiert, nicht über Code. Die Komplexität reicht von einfachen zustandslosen Operationen (z. B. Reporting) bis zu langlebigen Prozessen mit manueller Interaktion mehrerer Beteiligter über Tage hinweg. Workflow-Instanzen können unterbrochen, wieder aufgenommen und über ihre Workflow-ID jederzeit referenziert werden.

Connector-basierte Datenintegration: Jeder literale Konfigurationswert in OpenXPKI kann durch einen Connector ersetzt werden, der zur Laufzeit externe Quellen abfragt. Connectoren existieren für LDAP-Verzeichnisse, SQL-Datenbanken, REST-Webservices, Flat Files und mehr. Dasselbe Konzept steuert auch die Publikation von Zertifikaten und CRLs — ob in ein LDAP-Verzeichnis, auf ein Dateisystem oder per SCP auf ein entferntes System.

Flexible Authentifizierung: Die Benutzerauthentifizierung wird pro PKI Realm über konfigurierbare Authentication Stacks gesteuert. Unterstützt werden unter anderem LDAP, SAML, OAuth und lokale Passwörter. Externe SSO-Systeme lassen sich problemlos anbinden.

Notification-System: Workflows können bei definierten Ereignissen automatisch Benachrichtigungen auslösen. Neben E-Mail (SMTP) werden bei Bedarf auch Integrationen mit Request Tracker (RT) und ServiceNow unterstützt. Zusätzlich erzeugt OpenXPKI Erinnerungen für auslaufende Zertifikate.

RA/CA-Flexibilität: Im Standardbetrieb arbeiten Registration Authority und Certificate Authority auf demselben System. Bei erhöhten Sicherheitsanforderungen kann die RA von der CA getrennt oder eine externe Backend-CA angebunden werden - und das kann auch eine öffentliche CA sein!

Microsoft Autoenrollment: Natives Windows-Autoenrollment wird optional über Produkte von Partnerunternehmen unterstützt und ermöglicht die nahtlose Integration von OpenXPKI in Active-Directory-Umgebungen.

Interne Issuing CA mit integriertem Zertifikatsmanagement: OpenXPKI eignet sich ideal als zentrale interne Issuing CA für manuelle und automatische Antragsprozesse. Das integrierte Zertifikatslebenszyklus-Management übernimmt die automatische Erneuerung, eskaliert fehlgeschlagene Verlängerungen und stellt flexible Reporting-Funktionen bereit — alles konfigurationsgesteuert und ohne individuelle Skripte.

Automatisierte Zertifikatsversorgung von IT-Infrastruktur: Netzwerkgeräte, Telefonanlagen, Virtualisierungsplattformen oder Device-Management-Systeme werden über SCEP, EST, ACME oder RPC vollautomatisch mit Zertifikaten versorgt. Pro Gerätetyp oder Organisationseinheit lassen sich dedizierte Enrollment-Endpunkte mit individuellen Policies konfigurieren.

IoT-Zertifikatsprovisionierung: Von der Erstausstellung von Gerätezertifikaten während der Produktion bis zum automatisierten Zertifikatsaustausch im laufenden Betrieb: OpenXPKI liefert die Infrastruktur für den gesamten Zertifikatslebenszyklus von IoT-Geräten — skalierbar und vollständig automatisierbar.

Integration mit externen Datenquellen: Über das Connector-Interface bindet OpenXPKI externe Systeme direkt in den Zertifikatsprozess ein. REST-APIs, Webservices, Datenbanken, Verzeichnisdienste oder Asset-Management-Systeme liefern Metadaten für die Anreicherung von Zertifikatsanträgen oder steuern automatisierte Genehmigungsentscheidungen.

Konsolidierung einer gewachsenen CA-Landschaft: Anstatt für jede Abteilung oder jeden Anwendungsfall eine eigene CA zu betreiben, fasst OpenXPKI beliebig viele logische CAs in einer einzigen Installation zusammen. Jeder PKI Realm behält seine eigenen Policies, Endpunkte und Einstellungen für Benutzer-Authentisierung, aber Betrieb, Monitoring und Wartung werden zentral gebündelt.