Kokkuvõte: SSL-i eSigneri pilveallkirjastamisteenuse ja riistvaratokeni vahel valimine mõjutab enamat kui lihtsalt võtme salvestamist. See kujundab kogu teie allkirjastamise töövoo toimimist. See juhend võrdleb mõlema meetodi võimalusi, hinnakujundust ja CI/CD-ühilduvust, et aidata teil leida õige lahendus. Olenemata sellest, kas allkirjastate aeg-ajalt või haldate automatiseeritud torujuhtmeid suures mahus, vastus on siin.
Kui tellite SSL-ilt koodiallkirjastamise sertifikaadi, peate enne privaatvõtme genereerimist tegema põhimõttelise otsuse: kus see võti asub ja kuidas te seda allkirjastamiseks kasutate? Kaks peamist teed on füüsiline riistvaratoken, mis saadetakse teie ukse taha, või SSL-i pilveallkirjastamise teenus eSigner. Mõlemad vastavad CA/Browser Forumi võtmete talletamise nõuetele, mis jõustusid 2023. aasta juunis, kuid need teenindavad väga erinevaid töövooge, meeskonna suurusi ja automatiseerimisvajadusi.
See juhend asetab need kaks valikut kõrvuti, et saaksite teha teadliku valiku ilma mitmest allikast infot kokku tuumata.
Kuidas iga meetod töötab
Riistvaražetoonid (YubiKey FIPS ja Thales SafeNet) on füüsilised USB-seadmed, mis salvestavad teie privaatvõtit võltsimiskindlasse riistvarasse. SSL-sertifikaadiga seadmesse on need eelnevalt laaditud. Allkirjastamiseks peab token olema füüsiliselt kohal, ühendatud masinaga ja avatav PIN-koodiga. Privaatvõti ei lahku kunagi seadmest.
e-allkirjastaja on SSL-i pilvepõhine allkirjastamisteenus. Teie privaatvõti genereeritakse ja salvestatakse FIPS 140-2-ga ühilduvates HSM-ides, mida SSL haldab. Kuna võti asub pilves, saate allkirjastada igast internetiühendusega masinast ilma riistvara kaasas kandmata. Allkirjastamine toimub eSigner Expressi veebirakenduse, CodeSignTool käsurea utiliidi, CSC-ga ühilduva API või Windowsi-põhiste tööriistakettide jaoks mõeldud eSigner CKA (Cloud Key Adapter) kaudu.
Mõlemad meetodid salvestavad privaatvõtmeid valideeritud FIPS 140-2 riistvarale. Peamine erinevus seisneb selles, kelle käes riistvara on ja kus see teie töövoogudes paikneb.
Võimete võrdlus
|
Võime |
Riistvara tunnus |
e-allkirjastaja |
|
OV / IV koodi allkirjastamine |
Jah |
Jah |
|
EV-koodi allkirjastamine |
Jah |
Jah |
|
Dokumendi allkirjastamine |
Jah |
Jah |
|
Allkirjastamine ilma füüsilise riistvarata |
Ei |
Jah |
|
Meeskonna/volituste jagamine |
Ei |
Jah |
|
Veebirakenduse kaudu allkirjastamine (kohalikke tööriistu pole vaja) |
Ei |
Jah (eSigner Express) |
|
CLI/skriptitav allkirjastamine |
Jah (SignTooli ja draiveri kaudu) |
Jah (CodeSignTool) |
|
CSC API ligipääs |
Ei |
Jah |
|
Windowsi CNG/KSP integratsioon |
Jah (emakeel) |
Jah (eSigner CKA kaudu) |
|
Kaugkinnituse tugi |
Ainult YubiKey |
ei ole kohaldatav |
|
Kerneli režiimi draiveri allkirjastamine |
Jah (Thales SafeNet, RSA kuni 3072-bitine) |
Jah (elektriauto) |
|
Liivakast/testimiskeskkond |
Ei |
Jah |
Funktsioonide võrdlus
|
tunnusjoon |
Riistvara tunnus |
e-allkirjastaja |
|
Võtme hoiukoht |
Seadmesisene (füüsiline) |
Pilvepõhine HSM (SSL-haldusega) |
|
FIPS 140-2 vastavus |
Jah |
Jah |
|
Vajalik füüsiline seade |
Jah |
Ei |
|
Kaotatud/varastatud esemete risk |
Jah |
Ei |
|
Asendusprotsess |
Uue tokeni tellimus + taasregistreerimine (tasu 150 dollarit) |
ei ole kohaldatav |
|
Samaaegsete kasutajate arv |
Üks žetooni kohta |
Mitu volitust tellimuse kohta |
|
CI/CD torujuhtmete kaudu allkirjastamine |
Vajab füüsilist USB-ühendust |
Pärit |
|
Mitme operatsioonisüsteemi tugi |
Windowsi esmane; mujal piiratud |
Iga operatsioonisüsteem, millel on internetiühendus |
|
Auditi/kasutuse jälgimine |
Pole sisseehitatud |
Kontoportaalis igakuiselt jälgitavate allkirjastamiste arv |
|
Microsoft SmartScreeni maine (EV) |
Jah |
Jah |
|
30-päevane tasuta prooviversioon |
Ei |
Jah (piiramatu arv allkirjastamisi) |
|
Sertifikaatide jagamine volituste vahel |
Ei |
Jah |
Hinnavõrdlus
Riistvaratokenid on teie sertifikaadi tellimusega kaasas ja need kujutavad endast ühekordset riistvarakulu seadme kohta. Allkirjastamise eest tasusid ei ole, kuid iga füüsiline token on seotud ühe kasutaja ja asukohaga. Meeskonnaliikmete lisatokenid tuleb tellida eraldi.
eSigner toimib teie sertifikaadile lisanduva tellimusmudeli alusel. Tellimusi saab tellida kuu- või aastatellimusena; aastased paketid pakuvad 25% allahindlust. Kasutamata allkirjad kantakse üle järgmisse arveldustsüklisse, kui tellimus on aktiivne.
eSigner: IV, OV ja IV+OV koodiallkirjastamine ja dokumentide allkirjastamine
|
Tase |
Allkirjastamisvolitused |
Igakuised allkirjastamised |
Kuu hind |
Iga-aastased allkirjastamised |
Aastane kulu |
Ülejääk (tk) |
|
1 |
1 |
20 |
$20.00 |
240 |
$180.00 |
$1.00 |
|
2 |
5 |
100 |
$85.00 |
1,200 |
$765.00 |
$0.85 |
|
3 |
9 |
300 |
$175.00 |
3,600 |
$1,575.00 |
$0.58 |
|
4 |
13 |
1,000 |
$250.00 |
12,000 |
$2,250.00 |
$0.25 |
Täiendavad IV/OV allkirjastamisvolitused on saadaval hinnaga 20.00 dollarit volituse kohta kuus kõigil tasemetel.
eSigner: EV koodiallkirjastamine
|
Tase |
Allkirjastamisvolitused |
Igakuised allkirjastamised |
Kuu hind |
Iga-aastased allkirjastamised |
Aastane kulu |
Ülejääk (tk) |
|
1 |
1 |
10 |
$100.00 |
120 |
$900.00 |
$10.00 |
|
2 |
3 |
100 |
$300.00 |
1,200 |
$2,700.00 |
$3.00 |
|
3 |
7 |
1,000 |
$700.00 |
12,000 |
$6,300.00 |
$0.70 |
|
4 |
15 |
10,000 |
$1,500.00 |
120,000 |
$13,500.00 |
$0.15 |
Täiendavad EV allkirjastamisvolitused on saadaval hinnaga 29.00 dollarit kuus volituse kohta kõigil tasemetel. Kui mahtu on üle taseme maksimumi, võtke ühendust SSL-i ettevõtte müügimeeskonnaga aadressil sales@ssl.com.
Märge: Kõik eSigneri allkirjastamiskrediidid kaovad, kui tellimus muutub mitteaktiivseks. Pärast tühistamist on uuesti registreerumine võimalik 150 dollari suuruse tasu eest.
CI/CD ühilduvuse maatriks
Riistvaratokenid vajavad füüsilist USB-ühendust, mis muudab need enamiku pilves hostitud CI/CD-jagajate jaoks ühildumatuks. eSigner on spetsiaalselt loodud torujuhtme integreerimiseks.
|
CI/CD platvorm |
Riistvara tunnus |
e-allkirjastaja (CodeSignTool) |
e-allkirjastaja (CKA) |
eAllkirjastaja (CSC API) |
|
GitHubi toimingud |
Ei toetata |
Jah |
Jah (ise hostitud jooksja) |
Jah |
|
GitLab CI |
Ei toetata |
Jah |
Jah (ise hostitud jooksja) |
Jah |
|
CircleCI |
Ei toetata |
Jah |
Jah (ise hostitud jooksja) |
Jah |
|
Jenkins |
Ei toetata |
Jah |
Jah |
Jah |
|
Azure DevOps |
Ei toetata |
Jah |
Jah |
Jah |
|
Travis C.I. |
Ei toetata |
Jah |
Ei |
Jah |
|
Bitbucketi torujuhtmed |
Ei toetata |
Jah |
Ei |
Jah |
|
Ise hostitud jooksja (mis tahes platvormil) |
Võimalik otseühendusega USB-ga |
Jah |
Jah |
Jah |
eSigner CKA integreerub Windowsi-põhiste tööriistakettidega nagu SignTool ja certutil. Linuxi ja macOS-i CI-keskkondade jaoks on soovitatavad lähenemisviisid CodeSignTool ja CSC API.
Millise meetodi peaksite valima?
Kumbki variant pole universaalselt parem. Õige vastus sõltub teie meeskonna struktuurist, väljalaskerütmist ja infrastruktuurist.
Valige riistvaratoken, kui:
- Sa kirjutad harva alla. Kui teie avaldamisgraafik on aeg-ajalt avatud (paar korda kuus või harvemini), võib eSigneri allkirjastamise tellimuskulu ületada teie mahu väärtust.
- Sa töötad õhulüngaga või internetipiiranguga keskkonnas. Pärast esmast seadistamist saavad riistvaražetoonid toimida täielikult võrguühenduseta.
- Teie allkirjastamise töövoog on juba üles ehitatud Windowsi-põhistele tööriistadele näiteks SignTool, ja te ei vaja automatiseerimist.
- Vastavusnõuded täpsustavad füüsilise võtme hoidmise. Mõned reguleeritud tööstusharud nõuavad, et privaatvõtmed asuksid füüsilisel riistvaral otsese organisatsioonilise kontrolli all.
Vali e-allkirjastaja, kui:
- Kasutate CI/CD konveierit. eSigner on ainus valik, mis integreerub natiivselt pilves hostitud käivitajatega GitHub Actionsis, GitLab CI-s, CircleCI-s, Azure DevOpsis ja teistes platvormides. Riistvaratokenid ei saa automatiseeritud pilvejärkudes osaleda.
- Teil on hajutatud või kaugtöömeeskond. e-allkirjastaja allkirjastamisvolitusi saab meeskonnaliikmete vahel jagada ilma riistvara transportimata või füüsilisi varasid eri asukohtades haldamata.
- Sa allkirjastad suure hulga. 4. tasemel langeb EV-allkirjastamise hind 0.15 dollarini allkirja kohta ja IV/OV-allkirjastamise hind 0.25 dollarini. Organisatsioonide puhul, kus on sadu või tuhandeid igakuiseid allkirju, soosivad majanduslikud kaalutlused eSigneri mahutasemeid.
- Lisaks koodiallkirjastamisele on vaja ka dokumentide allkirjastamist. eSigner on siin ainus meetod, mis toetab dokumentide allkirjastamise sertifikaate. SSL-i väljastatud riistvaratokenid on koodiallkirjastamise spetsiifilised.
- Sa tahad riistvara logistikast vabaneda. Kadunud žetoonid, PIN-koodi lukustumine ja füüsilised saatmisviivitused on operatiivsed riskid, mille eSigner täielikult kõrvaldab.
- Sa alles alustad. Tasuta 30-päevane prooviperiood piiramatute allkirjastamistega annab meeskondadele aega eSignerit enne tellimuse tasemele pühendumist täielikult hinnata.
Märkus segatud keskkondade kohta
Need kaks meetodit ei ole organisatsiooni tasandil teineteist välistavad. Mõned meeskonnad väljastavad riistvaralisi märke arendajatele, kes allkirjastavad järke lokaalselt, samal ajal kui eSigneri kasutatakse väljalasketorustike ja automatiseeritud partiitööde jaoks. Sama SSL-koodi allkirjastamise sertifikaadi saab eSignerisse registreerida sõltumatult tellimusega seotud riistvaramärgist.
Alustamine
- Koodiallkirjastamise sertifikaadi tellimine: ssl.com/koodiallkirjastamise-sertifikaadid
- Registreeru eSignerisse: ssl.com/esigner
- Vaadake üle CI/CD integratsioonijuhendid: Saadaval GitHub Actionsi, GitLab CI, CircleCI, Jenkinsi, Azure DevOpsi, Travis CI ja Bitbucketi jaoks aadressil ssl.com
- Hulgihinnakujunduse osas võtke ühendust SSL-i ettevõtte müügiosakonnaga: sales@ssl.com
Küsimuste korral selle kohta, milline variant sobib teie konkreetsele keskkonnale, on SSL-i tugimeeskond saadaval aadressil jututuppa või piletiportaalis aadressil ssl.com.
