https://aperturezone.com/pki/ Recent content in PKI: One Infrastructure, Two Authorities on Aperture Zone https://aperturezone.com/logo.webp https://aperturezone.com/logo.webp Hugo -- gohugo.io fr-fr Wed, 14 Oct 2026 00:00:00 +0000 https://aperturezone.com/pki/pki1/ Mon, 24 Aug 2026 00:00:00 +0000 https://aperturezone.com/pki/pki1/ Pendant lontgemp, ma PKI interne a reposé sur une autorité de certification OpenSSL pilotée à la main : une racine, des certificats de deux ans signés un par un. Ça marchait — jusqu'à ce que le nombre de services rende le modèle intenable. Cette première partie raconte la bascule vers step-ca : comment réutiliser la racine existante pour ne pas casser la confiance déjà déployée, comment passer à des certificats courts renouvelés automatiquement, et comment industrialiser le motif sur toute la flotte sans transformer chaque machine en corvée. https://aperturezone.com/pki/pki2/ Thu, 27 Aug 2026 00:00:00 +0000 https://aperturezone.com/pki/pki2/ La Partie 1 racontait la bascule de mon monde Linux vers step-ca. Mais une autre autorité de certification tournait déjà de son côté : AD CS, l'autorité Microsoft native à mon Active Directory. Cette deuxième partie explique pourquoi j'ai choisi de garder les deux PKI séparées plutôt que de les fusionner, puis détaille le chantier qui m'a occupé ces dernièrs jours — sécuriser l'authentification RDP sur deux domaines AD via des certificats machine émis et renouvelés automatiquement, avec son lot de pièges autour du service SessionEnv. https://aperturezone.com/pki/pki3/ Wed, 09 Sep 2026 00:00:00 +0000 https://aperturezone.com/pki/pki3/ Depuis avril 2026, Windows affiche un bandeau d'avertissement agressif sur tout fichier .rdp non signé — y compris ceux qu'on crée soi-même. Cette troisième partie raconte comment j'ai mis en place une signature automatique de ces fichiers avec mon AD CS interne : un endpoint JEA restreint aux admins du domaine, un watcher côté client, une tâche planifiée qui a refusé de coopérer et une limite assumée du nouveau modèle de sécurité de Microsoft qu'aucune automatisation ne peut contourner.