PKI/CLM für S/MIME: Zertifikate als Lifecycle-Service betreiben
S/MIME scheitert selten am Zertifikat selbst, sondern an Enrollment, Schlüsselverwaltung, Recovery, Clientunterstützung, Sperrung und Erneuerung. CLM macht daraus einen steuerbaren Betriebsprozess.
S/MIME ist ein Lifecycle und kein Einmal-Rollout
Ausstellung, Identitätsprüfung, Zustellung, Nutzung, Erneuerung, Sperrung und Offboarding müssen zusammen funktionieren. Ein CLM-System wird interessant, wenn mehrere CAs, viele Benutzer, unterschiedliche Clients oder kurze Laufzeiten den manuellen Betrieb unbeherrschbar machen.
Signatur und Verschlüsselung haben unterschiedliche Recovery-Anforderungen
Für Signaturschlüssel ist Schlüsselkopie typischerweise unerwünscht. Bei Verschlüsselung kann eine geregelte Wiederherstellung historischer Daten erforderlich sein. Diese Trennung gehört in Policy, Rollenmodell und technische Profile, bevor Zertifikate automatisch ausgerollt werden.
Public Trust und interne PKI sind Architekturentscheidungen
Externe Kommunikationsbeziehungen können andere Vertrauensanforderungen haben als rein interne Prozesse. CA-Auswahl, Zertifikatsprofile, Verzeichnisveröffentlichung und Clientunterstützung sollten deshalb aus den Kommunikationsfällen abgeleitet werden.
Clients sind Teil des Abnahmetests
Outlook Desktop, Web, mobile Clients, Shared Mailboxes und gegebenenfalls Fachverfahren verhalten sich nicht identisch. Ein S/MIME-Projekt braucht eine Client-Matrix mit Enrollment, Signieren, Verschlüsseln, Zertifikatswechsel und Recovery.
Gute Betriebskennzahlen sind früh sichtbar
Anteil automatischer Erneuerungen, fehlgeschlagene Enrollments, Zeit bis zur Sperrung, Recovery-Fälle, Zertifikate ohne Besitzer und Helpdesk-Aufwand zeigen schneller als eine reine Lizenzbetrachtung, ob der Lifecycle beherrscht wird.