Bestand und Verwaltung trennen
Inventory erkennt den PIV-Token und seinen Zustand. Erst Register macht daraus ein von x.ID kontrolliertes Geräteobjekt.
YUBIKEY LIFECYCLE MANAGEMENT
YubiKey Lifecycle Management: von der Ausgabe bis zum sicheren Ersatz.
YubiKey Lifecycle Management umfasst Vorbereitung, Zuordnung, Enrollment, Erneuerung und Vertrauensentzug bei Verlust oder Ausmusterung. SYNRION x.ID von keyONE verbindet diese Schritte mit verantwortlicher Identität, PIV-Slot, CA-Profil und Verzeichniszuordnung. Der Ablauf beginnt beim Serviceteam und führt über die benutzergeführte Zertifikatsausgabe bis zum kontrollierten Ersatz.
NUTZEN IN 30 SEKUNDEN
Der vollständige Lifecycle in 30 Sekunden.
Gerät, Identität und Credential trennen
Register, Assign und Enroll sind drei eigene Zustände: verwaltete Hardware, verantwortliche Identität und technisch ausgestelltes Credential.
Sperren heißt Vertrauen entziehen
Eine Sperraktion entzieht Vertrauen in den Zielsystemen: Zertifikate widerrufen, CRL veröffentlichen und betroffene AD-/LDAP- und Entra-Zuordnungen bereinigen.
INVENTORY · REGISTER · ASSIGN · ENROLL · OPERATE · REVOKE · DELETE
Welche Zustände durchläuft ein PIV-Token in SYNRION x.ID?
Das Serviceteam kann viele PIV-Token bereits im Predeployment vorbereiten. Auto-Inventory und Auto-Register unterstützen die automatische Bestandsaufnahme und Registrierung. Zuordnung, Zertifikatsausstellung und späteres Deprovisioning bleiben eigene Prozessschritte.
-
01
Inventory – vorhandene PIV-Token erkennen
Angeschlossene und bereits bekannte PIV-Token inventarisieren: Seriennummer, PIV-Slots, Zertifikate, Laufzeiten und den verfügbaren Schlüsselstatus erfassen.
-
02
Register – Token unter Verwaltung stellen
Beim erstmaligen Register eines bereits benutzten YubiKeys wird dieser nach dem vereinbarten Integrationsverfahren vollständig zurückgesetzt und neu aufgenommen. Vorhandene Schlüssel und Zertifikate werden dabei gelöscht. Inventory allein ist dagegen eine Bestandsaufnahme ohne diesen Reset.
-
03
Assign – verantwortliche Identität zuordnen
Den registrierten Token nachvollziehbar einer verifizierten Identität, einer Zuständigkeit und gegebenenfalls einer Rollen- oder Berechtigungsgruppe zuordnen.
-
04
Enroll – Credential vollständig ausstellen
Den privaten Schlüssel direkt im vorgesehenen PIV-Slot erzeugen, den Certificate Signing Request (CSR) erstellen, Genehmigungs- und CA-Prozess durchlaufen und das Zertifikat auf dem Token installieren.
-
05
Operate – Bestand, Erneuerung und Aktionen im Blick
Angeschlossene Token, aktuelle Zertifikate, Laufzeiten und Attribute nachvollziehbar halten. x.ID protokolliert Lifecycle-Aktionen und steuert Renewal und Re-Enroll; jede Zertifikatserneuerung erzeugt einen neuen privaten Schlüssel auf der Hardware.
-
06
Revoke – Vertrauen unmittelbar entziehen
Die Sperraktion widerruft die betroffenen Zertifikate über den CA Connector einschließlich Sperrgrund und CRL-Veröffentlichung. x.ID bereinigt die zugehörigen Zertifikatseinträge und SKI-Zuordnungen in AD/LDAP, im Windows-Zertifikatsspeicher und in Microsoft Entra ID.
-
07
Delete – Token ist vorhanden
Zuordnung aufheben, Zertifikate sperren oder widerrufen, Verzeichniseinträge bereinigen, den Management Key zurücksetzen und den Token aus dem verwalteten Bestand entfernen.
-
08
Delete – Token ist verloren
Zuordnung und Zertifikate sperren, Verzeichnisse bereinigen und den Token einschließlich seines Management Keys aus der Verwaltung entfernen.
DIE ARCHITEKTUR AUF EINEN BLICK
Vertrauen gezielt entziehen: Zertifikate widerrufen, CRL veröffentlichen und Zuordnungen in AD/LDAP und Entra bereinigen.
TECHNISCHE TIEFE
Die Begriffe hinter dem Lifecycle.
Diese Konzepte liefern unterschiedliche Nachweise und dürfen nicht auf das einfache Signal „Schlüssel ist vorhanden“ reduziert werden.
- PIV Attestation
- Eine signierte Attestation kann zeigen, dass ein unterstütztes PIV-Schlüsselpaar in der Hardware erzeugt wurde, und den technischen Nachweis an das ausgebende Gerät binden. Sie ergänzt die Identitätsprüfung, ersetzt sie aber nicht.
- FIDO2: Geräterichtlinien und Entra-Vorprovisionierung
- Erlaubte YubiKey-Anwendungen lassen sich für USB und NFC getrennt konfigurieren, einschließlich FIDO2. PIV-PIN, PUK und PIV-Attestation sind keine FIDO2-Funktionen. Die Entra-FIDO2-Vorprovisionierung umfasst die persönliche PIN-Übergabe. Tenant-Policy, Berechtigungen, Hardware und Transportweg müssen zum Einsatz passen.
- Primär- und Sekundäridentitäten
- Die Primäridentität bezeichnet die verantwortliche Person. Sekundäridentitäten stehen für zusätzliche Rollen oder Kontexte und bleiben mit dieser Person verbunden, statt unkontrollierte Parallelkonten zu werden.
- Policy Enforcement
- x.ID gleicht angeforderte CSR-Attribute mit den aktuellen Informationen der zuständigen LDAP-/Entra-Quelle und den Policies ab. Unerlaubt injizierte Attribute dürfen nicht zur Ausstellung führen. Unabhängige Gegenprüfung schützt die Entscheidung zusätzlich.
- Active Directory: Zertifikat und starke Zuordnung
- Der LDAP Connector kann das ausgestellte Zertifikat in userCertificate veröffentlichen und eine starke X509:<SKI>-Zuordnung in altSecurityIdentities pflegen. Die optionale Microsoft-SID-Erweiterung im Zertifikat ist ein weiterer starker Microsoft-Zuordnungsweg.
- Microsoft Entra ID: nativer Azure Connector
- Der native Azure Connector greift über Microsoft Graph direkt auf Microsoft Entra ID zu, ohne eine AD-Synchronisation vorauszusetzen. Für Entra CBA pflegt er SKI-Zuordnungen in certificateUserIds. Die Entra-FIDO2-Vorprovisionierung verbindet die Registrierung im Tenant mit einer getrennten persönlichen PIN-Übergabe.
- Störungen und Fortsetzung
- Ein vorübergehend nicht erreichbares Ziel beendet den Prozess nicht: x.ID hält betroffene Aufträge vor und setzt sie automatisch fort, sobald die Verbindung wieder besteht. Das gilt auch für Zertifikatssperrung und Verzeichnisbereinigung.
- Geräteverbindung neu initialisieren
- Erkannte YubiKey-Treiberfehler bei Register oder Deregistrierung kann x.ID durch eine automatische Neuinitialisierung der Geräteverbindung abfangen. Das ist weder eine Reparatur defekter Hardware noch eine allgemeine Rollback-Garantie.
NACHWEIS & GRENZEN
Aktionen und aktueller Zustand bleiben nachvollziehbar.
Der Mehrwert ist keine Liste von Credentials. Es ist die dauerhafte Beziehung zwischen Hardware, Identität, Verwendungszweck, Policy und aktuellem Lifecycle-Zustand.
Eindeutige Zuordnung
Security Key, Primäridentität, Sekundäridentitäten und Anwendungen bleiben sichtbar miteinander verbunden.
Aktionen, Zertifikat und aktuelle Attribute
x.ID protokolliert die Lifecycle-Aktionen. Das aktuelle Zertifikat und die aktuellen Attribute bleiben sichtbar; Protokolldaten können für eigene Auswertungen exportiert werden.
Integrierbares Betriebsmodell
Lokales Active Directory und Microsoft Entra ID sind über getrennte LDAP- und Azure-Connector-Pfade eingebunden; Zertifizierungsstellen und Fremdsysteme können hinzukommen.
Auswertungen im gemeinsamen Basismodul
Das gemeinsame SYNRION-Basismodul stellt Compliance-Auswertungen, CBOM-fähige Daten über API sowie vorbereitete PCI-DSS-, DORA- und BSI-orientierte Berichte bereit. Individuelle Auswertungen und der Export von Protokolldaten sind möglich. Das unterstützt Prüfungen, ist aber keine Konformitätszertifizierung.
PASSENDES PRODUKT
SYNRION x.ID
YubiKeys, Identitäten, PIV-Zertifikate und FIDO2 zentral im Browser verwalten. SYNRION x.ID verbindet native Entra-Anbindung mit Cloud-, On-Premises- oder Hybridbetrieb über Outpost-Connectoren. Das Portal ist auch mobil bedienbar; Freigabestatus und Voraussetzungen stehen in der Funktionsübersicht.
NÄCHSTER KONTROLLIERTER SCHRITT
Sehen Sie Ihren bestehenden YubiKey-Prozess als einen Lifecycle.
Wir zeigen Ausgabe, Betrieb, wirksamen Vertrauensentzug und sicheren Ersatz an Ihrem Ablauf – einschließlich CA/CRL, AD/LDAP und Microsoft Entra ID.