Smallstep – 短效憑證、step-ca 與 Device Identity 平台 | Quasa.io

#Quasa #QUA #Smallstep

Smallstep 核發短效憑證，讓人員、裝置與工作負載證明自己的身分，而不必共用長效金鑰。其開源元件是 step-ca：適用於 X.509 與 SSH 的線上憑證授權單位。它支援 ACME，能自行更新 TLS 憑證，也能在使用者透過 SSO 登入後，提供短效 SSH 憑證，讓你不再需要採用首次使用即信任的機制。商業層則是 Device Identity 平台：為公司裝置提供以硬體為基礎的憑證，並為 VM、Kubernetes、內部 API，以及現在的 AI 代理與 MCP 工具呼叫提供工作負載身分。Smallstep SSH 在 step-ca 之上加入存取規則、使用者生命週期管理與稽核功能。代管產品的價格由業務報價。step-ca 本身可免費執行。

核心優勢
• 使用會到期的憑證，而非有效期長達多年的金鑰
• 以同一個 CA 處理 TLS 與 SSH
• 透過 SSO 登入並取得短效 SSH 憑證
• 透過裝置驗證，確認筆記型電腦是已知的機器
• 想自行架設時，可使用開源 CA  

適用對象
正在替換內部系統中靜態 SSH 金鑰、長效 TLS 憑證與共用 API 金鑰的平台與資安團隊。

功能亮點
• 適用於私有基礎架構的 ACME
• 主機與使用者的 SSH 憑證
• 適用於工作負載與內部 API 的 mTLS
• 與硬體綁定的裝置憑證
• 付費 SSH 產品提供稽核與存取規則  

潛在考量
• 代管方案未在公開價格頁面列出價格
• 憑證仍需要正常運作的 CA 與可行的更新途徑
• 裝置身分仰賴你實際掌控的硬體
• 開源 step-ca 並不包含完整的商業版工作流程
• CA 停機時，短效憑證會以拒絕存取的方式確保安全  

整體評價
4.3/5 顆星。當任務是「證明這個行為者的身分，再讓證明到期」時，就使用 Smallstep。不要把憑證當成授權機制的替代品。在 Quasa.io 撰寫評論，還能獲得 1 QUA 獎勵！

開始使用： https://quasa.io/projects/smallstep