Smallstep – 短期证书、step-ca 与设备身份平台 | Quasa.io

#Quasa #QUA #Smallstep

Smallstep 颁发短期证书，让人员、设备和工作负载能够证明自身的身份，而不必共享长期有效的密钥。其开源核心是 step-ca：一个面向 X.509 和 SSH 的在线证书颁发机构（CA）。它支持 ACME 协议，能够自动续期 TLS 证书，并且在用户通过单点登录（SSO）后为其发放短期 SSH 证书，从而消除了首次连接信任（TOFU）的安全隐患。其商业化层是设备身份（Device Identity）平台：为企业设备提供硬件级保护的证书，以及为虚拟机（VM）、Kubernetes、内部 API 以及当前的 AI 智能体和 MCP 工具调用提供工作负载身份。Smallstep SSH 则在 step-ca 的基础上增加了访问控制规则、用户生命周期管理和审计功能。托管版产品的定价需通过销售渠道询价，而 step-ca 本身则完全开源免费。

𝐂𝗢𝗥𝗘 𝗦𝗧𝗥𝗘𝗡𝗚𝗧𝗛𝗦
• 到期自动失效的短期证书，告别长期有效的静态密钥
• 统一管理 TLS 和 SSH 的单一 CA 架构
• 通过 SSO 无缝获取短期 SSH 证书
• 设备证明（Attestation）机制，确保笔记本电脑等终端属于已知的受信机器
• 支持自行部署和托管的开源 CA  

𝗜𝗗𝗘𝗔𝗟 𝗙𝗢𝗥
需要淘汰内部系统中静态 SSH 密钥、长期 TLS 证书和共享 API 密钥的平台运维与安全团队。

𝗛𝗜𝗚𝗛𝗟𝗜𝗚𝗛𝗧𝗦
• 针对私有基础设施的 ACME 支持
• 主机与用户 SSH 证书
• 针对工作负载与内部 API 的 mTLS（双向 TLS）
• 绑定硬件的设备凭证
• 收费版 SSH 产品自带审计与访问规则  

𝗣𝗢𝗧𝗘𝗡𝗧𝗜𝗔𝗟 𝗖𝗢𝗡𝗦𝗜𝗗𝗘𝗥𝗔𝗧𝗜𝗢𝗡𝗦
• 托管套餐未在公开定价页面上列出
• 证书的签发仍依赖正常运行的 CA 及可靠的续期路径
• 设备身份高度依赖你实际掌控的硬件设备
• 开源的 step-ca 并不等同于完整的商业化功能工作流
• 一旦 CA 宕机，短期证书机制将默认采取安全断开（Fail Closed）策略  

𝗢𝗩𝗘𝗥𝗔𝗟𝗟 𝗩𝗘𝗥𝗗𝗜𝗖𝗧
4.3/5 星。当你的需求是“验证该主体身份，随后让凭证自动过期”时，请选择 Smallstep。切勿将证书本身等同于授权机制的替代品。在 Quasa.io 上发表评论还可获得 1 QUA 奖励！

𝗚𝗘𝗧 𝗦𝗧𝗔𝗥𝗧𝗘𝗗: https://quasa.io/projects/smallstep