Smallstep – 短期証明書、step-ca、Device Identityプラットフォーム | Quasa.io

#Quasa #QUA #Smallstep

Smallstepは短期証明書を発行し、人、デバイス、ワークロードが長期間有効な鍵を共有する代わりに、自らの身元を証明できるようにします。オープンソースの構成要素はstep-caで、X.509とSSHに対応するオンライン認証局です。ACMEに対応し、TLS証明書を自動で更新できるほか、SSO後にユーザーへ短期SSH証明書を発行できるため、初回接続時の信頼に依存する必要がなくなります。商用部分はDevice Identityプラットフォームです。会社のデバイス向けにハードウェアで保護された証明書を提供するとともに、VM、Kubernetes、内部APIに加え、現在ではAIエージェントやMCPツール呼び出しにもワークロードのIDを提供します。Smallstep SSHは、step-caにアクセスルール、ユーザーのライフサイクル管理、監査機能を追加します。マネージド製品の料金は営業担当による見積もり制です。step-ca自体は無料で運用できます。

主な強み
• 何年も有効な鍵ではなく、有効期限が切れる証明書
• TLSとSSHを単一のCAで管理
• SSOで短期SSH証明書を取得
• デバイスのアテステーションにより、ノートパソコンが既知のマシンであることを確認
• 自前でホストしたい場合に使えるオープンソースのCA  

適しているチーム
内部システムで使う固定のSSH鍵、有効期間の長いTLS証明書、共有APIキーの置き換えを進めるプラットフォームチームやセキュリティチーム。

注目の機能
• プライベートインフラ向けのACME
• ホストとユーザーのSSH証明書
• ワークロードと内部API向けのmTLS
• ハードウェアにひも付けられたデバイス認証情報
• 有料のSSH製品で利用できる監査機能とアクセスルール  

検討すべき点
• マネージドプランの料金は公開の料金ページに掲載されていない
• 証明書を使う場合も、稼働中のCAと更新手段が必要
• デバイスのIDは、実際に管理下にあるハードウェアに依存する
• オープンソースのstep-caには、商用版のワークフロー全体は含まれない
• CAが停止すると、短期証明書はアクセスを拒否する形で機能しなくなる  

総合評価
4.3/5 stars。「この主体の身元を証明し、その証明を期限切れにする」ことが目的なら、Smallstepを活用しましょう。証明書を認可の代わりとして扱わないでください。Quasa.ioでもレビューを投稿して、1 QUAの報酬を獲得しましょう！

利用を始める: https://quasa.io/projects/smallstep