CertNanny

Erstbeantragung und Erneuerung — Erstellung von PKCS#10-Requests mit x509v3-Erweiterungen wie Subject Alternative Names oder Certificate Templates. Anfragen können templatebasiert erstellt werden; die Authentifizierung erfolgt wahlweise über statisches Challenge-Passwort oder HMAC-Funktion. Ablaufende Zertifikate werden automatisch per Proof-of-Possession (Certificate Re-Keying) erneuert.

Registrar-Funktion — Authentifizierung von Anfragen per Client-Zertifikat (Enrollment on Behalf) sowie Verarbeitung extern erstellter PKCS#10-Dateien. Zertifikatssperrung ist integriert.

Multi-Plattform-Unterstützung — Verfügbar für Linux (x86_64, ARM, weitere), Windows, macOS sowie AIX, Solaris und diverse BSD-Derivate. Für ressourcenbeschränkte eingebettete Systeme steht eine schlanke Embedded-Variante bereit.

Flexible Keystore-Unterstützung — Natives Keystore-Management für OpenSSL/PEM- und PKIC#12-Format; weitere Formate (Java Keystore, Windows Certificate Store) können über Script-Hooks angebunden werden.

Modulare Enrollment-Protokolle — Unterstützung für SCEP, EST und das OpenXPKI-eigene RPC-Protokoll. Zusätzlich ist ein externer Modus verfügbar, bei dem CSR und Zertifikat manuell oder durch ein lokales Skript übergeben werden.

Vertrauensanker- und CA-Rollover-Management — CertNanny verwaltet CA-Zertifikatsketten und Root-Zertifikate und unterstützt den vollautomatischen Root-CA-Rollover.

Monitoring-Integration — Über konfigurierbare State-Change-Hooks lassen sich beliebige externe Monitoring- und Alerting-Systeme anbinden. Benachrichtigungen bei fehlgeschlagener Erneuerung oder bevorstehend ablaufenden Zertifikaten sind so einfach realisierbar.

Mehrstufiges Konfigurationssystem — YAML-basierte Konfiguration mit definierten Prioritätsstufen: bestehendes Zertifikat, lokale Konfigurationsdatei, Umgebungsvariablen, Kommandozeilenargumente, Backend-Parameter und Systemumgebung. Einstellungen lassen sich flexibel überschreiben.

Server und Workstations im Unternehmen — CertNanny wird als systemd-Timer oder Cron-Job eingerichtet und erneuert TLS-Zertifikate für Webserver, Mail-Server und andere Dienste vollautomatisch vor Ablauf. Script-Hooks sorgen dafür, dass Anwendungen nach einer Erneuerung automatisch neu geladen werden. Kein zentraler Agent, keine eingehenden Verbindungen – ideal für restriktive Netzwerksegmente.

IoT und eingebettete Systeme — Die CertNanny Embedded-Variante ermöglicht die sichere Zertifikatsversorgung von Geräten im Feld mit minimalem Ressourcenbedarf. Minimaler Programmcode mit eingebetteter Konfiguration, keine externen Abhängigkeiten und Unterstützung für verschiedene Hardware- und Softwareplattformen machen CertNanny zur idealen Lösung für IoT-Deployments. Die Integration kryptografischer Hardware wie TPMs ist möglich; kundenspezifische Hardwareanpassungen sind auf Anfrage verfügbar.

OpenXPKI Enterprise Edition — Zusammen mit OpenXPKI Enterprise Edition bildet CertNanny ein dezentrales Certificate Lifecycle Management System mit mächtigen Erweiterungsfunktionen. Neben den Standard-Enrollment-Protokollen stehen zusätzliche Authentifizierungsmethoden (HMAC, Challenge-basiert) sowie workflowgestützte Genehmigungsprozesse zur Verfügung. Zertifikatssperrung bei Erneuerung, Transaktions-IDs und mehrstufige Freigabeworkflows sind vollständig integriert.

Bestehende CA-Infrastruktur — CertNanny lässt sich über SCEP und EST an nahezu jedes CA-Produkt anbinden und ergänzt bestehende PKI-Infrastrukturen um automatisiertes, dezentrales Lifecycle-Management auf den Endsystemen – unabhängig vom eingesetzten CA-Produkt.

Massenausrollung / Batch-Betrieb — Über die Registrar-Funktion können Zertifikate im Auftrag für andere Zielsysteme beantragt werden (Enrollment on Behalf).