Confianza TLS enchufable: cuatro modos de CA para blindar Zaris

La forma más rápida de asegurarte de que TLS se omita es forzar un único modelo de confianza sobre todos. Un desarrollador que ejecuta un almacén en una laptop no quiere levantar una CA. Un banco con una raíz offline en un HSM no quiere que tu herramienta acuñe certificados en absoluto. Entrega un almacén que solo conozca uno de esos casos, y la mitad de tus usuarios desactivarán la seguridad para poder trabajar.

Por eso Zaris no elige por ti. Su confianza TLS es enchufable a lo largo de cuatro modos de autoridad certificadora, desde el autofirmado sin configuración hasta certificados que aprovisionas enteramente fuera de banda. Eliges el modo que coincide con la PKI que ya ejecutas, y Zaris encaja en ella en lugar de pedirte que la reconstruyas a su alrededor. TLS no es una talla única, y tratarlo así es exactamente por qué la seguridad se pospone.

Los cuatro modos de un vistazo

Todos los modos te dejan en el mismo lugar: los nodos presentan certificados, los clientes los verifican contra una CA de confianza, el tráfico va cifrado. Lo que difiere es quién emite los certificados y dónde reside la raíz de confianza. A medida que avanzas de M0 a M3, Zaris hace menos de la emisión y tú conservas más control — elige el punto donde la frontera de confianza quede donde tu equipo de seguridad quiere.

Modo	Nombre	Quién emite los certs de nodo	Raíz de confianza
M0	Auto	Zaris	CA generada por Zaris
M1	BYO-CA	Zaris, bajo tu CA	La CA de tu organización
M2	Intermediate	Zaris, como intermedia	Tu raíz offline, vía una intermedia de Zaris
M3	Pre-issued	Tú (fuera de banda)	Lo que haya acuñado los certs

M0 — Auto: TLS sin configuración para desarrollo y despliegues simples

En modo Auto, Zaris genera su propia CA y emite certificados de nodo bajo ella automáticamente. No hay nada que aprovisionar — levanta el clúster y los nodos ya hablan TLS entre sí y con los clientes.

Elígelo cuando: estás desarrollando, haciendo una demo, o levantando un despliegue simple donde el operador y el consumidor son el mismo equipo — cifrado activado, sin ceremonia.

tls:
  enabled: true
  ca:
    mode: auto        # Zaris generates a CA and issues node certs

El compromiso es inherente a la confianza autofirmada: los clientes deben confiar en una CA que Zaris inventó, lo que implica distribuírsela. Eso está bien dentro de un equipo; es el modelo equivocado en el momento en que los certificados necesitan encadenar a algo en lo que tus clientes ya confían — que es lo que arregla el siguiente modo.

M1 — BYO-CA: encadenar a una CA en la que tus clientes ya confían

El modo bring-your-own-CA es el caballo de batalla para las organizaciones que ya ejecutan una CA corporativa. Le entregas a Zaris tu CA, y Zaris emite certificados de nodo bajo ella, de modo que el certificado de cada nodo encadena hasta una raíz en la que tus clientes ya confían — sin una CA nueva que distribuir, sin cirugía del trust-store por cliente.

Elígelo cuando: tienes una CA corporativa existente y quieres certificados de Zaris bajo ella. Es la elección de producción más común.

tls:
  enabled: true
  ca:
    mode: byo               # you provide the CA; Zaris issues node certs under it
    caCert: file:/etc/zaris/pki/org-ca.crt
    caKey:  file:/etc/zaris/pki/org-ca.key

Aquí le estás dando a Zaris una clave de emisión, así que trata esos archivos como los secrets que son — móntalos desde tu secret store, no desde un repo de configuración.

M2 — Intermediate: emisión delegada con una raíz offline

El modo intermedio es para organizaciones que mantienen su CA raíz offline y delegan la emisión en intermedias. Zaris opera como una CA intermedia bajo tu raíz y presenta la cadena completa — certificado de nodo, luego la intermedia de Zaris, hasta tu raíz — de modo que un cliente que verifica pueda construir el camino de vuelta a una raíz en la que confía, aunque esa raíz nunca se acerque al clúster.

Elígelo cuando: tu postura dice que la raíz permanece offline (a menudo en un HSM) y la emisión se delega en intermedias con alcance acotado. Zaris se convierte en una de ellas, con un alcance de emisión que tú controlas, mientras la raíz permanece bajo llave.

# Your offline root signs a Zaris intermediate (done once, off the cluster)
openssl x509 -req -in zaris-intermediate.csr \
  -CA root-ca.crt -CAkey root-ca.key -CAcreateserial \
  -extensions v3_intermediate -days 1825 \
  -out zaris-intermediate.crt

# The node must present the FULL chain: node -> intermediate -> root
cat zaris-node.crt zaris-intermediate.crt > zaris-node-fullchain.crt

tls:
  enabled: true
  ca:
    mode: intermediate
    intermediateCert: file:/etc/zaris/pki/zaris-intermediate.crt
    intermediateKey:  file:/etc/zaris/pki/zaris-intermediate.key
    # so clients can build the full path to your offline root
    chain: file:/etc/zaris/pki/zaris-intermediate-fullchain.crt

La presentación de la cadena completa hace o deshace este modo: si un nodo presenta solo su certificado de hoja, los clientes que no tengan ya la intermedia no pueden construir el camino hasta la raíz y la verificación falla.

M3 — Pre-issued: tú acuñas los certs, Zaris solo los usa

El modo pre-emitido es control máximo. Aprovisionas los certificados de nodo tú mismo, enteramente fuera de banda, y Zaris no realiza ninguna emisión — carga y presenta los certificados que le das. Nunca sostiene una clave de emisión porque nunca emite nada.

Elígelo cuando: estás en un entorno estricto o regulado donde los certificados son acuñados por un sistema dedicado — un equipo de PKI corporativa, un pipeline respaldado por HSM, cert-manager con un issuer controlado — y ninguna aplicación puede emitir los suyos propios. Zaris encaja saliéndose por completo del negocio de la emisión.

tls:
  enabled: true
  ca:
    mode: provided          # certs minted elsewhere; Zaris only presents them
    nodeCert: file:/etc/zaris/pki/node-fullchain.crt
    nodeKey:  file:/etc/zaris/pki/node.key
    trustBundle: file:/etc/zaris/pki/trust-bundle.crt

Como no se emite nada por ti, la carga se traslada enteramente a tu proceso de aprovisionamiento: los certificados ya deben llevar los SANs correctos para cada nombre que anuncie cada nodo, y tú eres responsable de su rotación.

Una palabra honesta sobre la madurez

Los cuatro modos son una elección de configuración de primera clase, no un fork del build. Dos son rutas para usuarios avanzados: M2 (Intermediate) vive o muere según la correcta presentación de la cadena completa (un nodo solo-hoja falla la verificación para clientes que carecen de la intermedia), y M3 (Pre-issued) pone los SANs, el manejo de claves y la rotación enteramente en tu proceso de aprovisionamiento, porque Zaris no emite nada. M0 y M1 son las rampas de entrada suaves; recurre a M2/M3 cuando tu PKI lo exija.

El sentido de los cuatro modos

El valor no es el número — es que puedes activar TLS sin pelearte con tu PKI. El mismo almacén, cuatro fronteras de confianza: cifrado gratis en desarrollo, encadenar a tu CA corporativa en producción, delegar bajo una raíz offline, o acuñar certs externamente y entregarlos. La seguridad que encaja en el entorno se deja activada; la seguridad que se pelea con él se apaga.

Adónde ir después

Para ver un clúster asegurado levantado de extremo a extremo — TLS activado, certificados multi-SAN, acceso externo, y un cliente conectándose por él — lee Desplegar Zaris en Kubernetes con Helm. Para la referencia de configuración completa de cada modo de CA, consulta la guía de modos de confianza de CA.