Trust Lifecycle Manager jako skládačka: Poskládejte si automatizaci certifikátů podle vlastní infrastruktury

17. 9. 2026 | Jindřich Zechmeister

Automatizace certifikátů nemusí mít pouze jednu předem určenou podobu. DigiCert Trust Lifecycle Manager (TLM) slouží jako centrální řídicí vrstva, která propojuje vydávání certifikátů, automatické ověřování domén a jejich nasazování do cílových systémů. Nastavený proces pak zajišťuje vydání, pravidelnou obnovu i distribuci certifikátů a omezuje potřebu opakovaných ručních zásahů.

TLM jako orchestrátor celého procesu

Trust Lifecycle Manager není jen nástroj pro evidenci používaných certifikátů. Funguje jako centrální orchestrátor jejich životního cyklu – propojuje certifikační autority, ověření, vydávání i nasazování certifikátů do cílových systémů.

Celý princip lze přirovnat ke skládačce, kterou si organizace sestaví podle vlastní infrastruktury. Nejprve zvolí zdroj certifikátu, například DigiCert, jinou veřejnou certifikační autoritu nebo interní Microsoft CA. Poté nastaví způsob ověření a vydání certifikátu, a nakonec určí systém, do kterého se má certifikát nasadit.

Zjednodušený proces může vypadat například takto: certifikační autorita → TLM → ověření prostřednictvím DNS → vydání certifikátu → nasazení na webový server.

V jiném prostředí může TLM propojit privátní certifikační autoritu se síťovým zařízením, cloudovou službou nebo úložištěm typu vault. K propojení jednotlivých částí infrastruktury využívá konektory.

Informace o certifikátech se soustřeďuj v centrálním inventáři, kde administrátor sleduje jejich stav, platnost i umístění. TLM zároveň koordinuje jejich vydávání, obnovování, opětovné vystavení a nasazování. Kroky, které by jinak správce prováděl samostatně, se tak propojí do jednoho automatizovaného procesu.

Stačí tedy určit, odkud se má certifikát získat, jakým způsobem se vydá a kam se následně nasadí. TLM nastavený postup řídí a při dalších obnovách jej může automaticky zopakovat.

Jak si automatizaci v TLM poskládat

Automatizaci v TLM lze přirovnat ke skládačce z několika navazujících dílků. Správce podle potřeb své infrastruktury určí, kdo certifikát vydá, jak proběhne potřebné ověření a kam se má certifikát následně nasadit. TLM tyto části propojí do jednoho procesu a zajistí jeho automatické opakování.

• Zdroj certifikátu (certifikační autorita) – nejprve je nutné zvolit autoritu, která bude certifikát vydávat. Přestože je TLM produktem společnosti DigiCert, není omezen pouze na její certifikáty. Pomocí CA konektorů lze připojit například DigiCert CertCentral, Microsoft CA, AWS Private CA, Entrust, GlobalSign, Let’s Encrypt, Sectigo nebo EJBCA. Organizace tak může z jednoho prostředí pracovat s veřejnými i privátními certifikačními autoritami.
• Orchestrace a centrální inventář – středem celé skládačky je TLM. V centrálním inventáři lze certifikáty vyhledávat, evidovat a sledovat jejich stav i endpointy, na kterých se používají. TLM zároveň koordinuje jejich vydávání, obnovování, opětovné vystavení a další operace. Má tedy přehled o tom, odkud certifikát získat, pro jaký systém je určen a jaké kroky mají následovat.
• Automatické ověření domény – před vydáním veřejného TLS certifikátu je nutné ověřit kontrolu nad doménou neboli DCV. TLM podporuje DNS integrace pro více než 150 poskytovatelů, mezi které patří například Cloudflare, Azure DNS, Amazon Route 53, Google Cloud DNS nebo CZECHIA.COM. Prostřednictvím DNS API může vytvořit potřebný ověřovací záznam a dokončit ověření bez ručního zásahu správce. Stejný postup lze využít také při dalších obnovách certifikátu.
• Nasazení do cílového systému – posledním krokem je určit, kam má vydaný certifikát putovat. Cílem může být webový či aplikační server, load balancer, firewall, síťové zařízení, cloudová služba nebo secrets vault. Nasazení lze automatizovat pomocí DigiCert agenta, sensoru, konektorů nebo podporovaných protokolů a API. Dostupné jsou například integrace pro AWS Certificate Manager, AWS load balancery, CloudFront nebo Google Cloud Certificate Manager.

V jednodušším prostředí může celý proces vypadat následovně: certifikační autorita → TLM → DNS ověření → webový server.

Pro interní infrastrukturu lze jednotlivé dílky sestavit například takto: Microsoft CA → TLM → privátní certifikát → firewall nebo interní server.

Jakmile správce celý proces jednou nastaví, TLM jej může využívat také při dalších obnovách. Vydání, ověření i nasazení certifikátu se tak opakuje automaticky bez nutnosti pokaždé provádět stejné kroky ručně.

ACME zůstává jedním z nejdůležitějších dílků

Významnou roli v automatizaci hraje ACME (Automated Certificate Management Environment). Tento standardizovaný protokol umožňuje automatizovat vydávání, ověřování i obnovování certifikátů.

V běžném scénáři ACME klient nainstalovaný například na webovém serveru odešle žádost o certifikát, provede požadované ověření a následně zajistí jeho nasazení. TLM nabízí vlastní ACME službu, se kterou mohou komunikovat kompatibilní klienti. Automatizovat tak lze nejen první vydání certifikátu, ale také jeho pravidelné obnovování nebo opětovné vystavení.

ACME však není jedinou možností. TLM podporuje také další registrační protokoly a rozhraní, například SCEP, EST, CMP nebo REST API. Organizace si proto může zvolit způsob odpovídající konkrétním zařízením a prostředím, ve kterých ACME není dostupné nebo pro ně není vhodné.

Spojení standardizovaných protokolů s agenty, sensory a konektory umožňuje TLM řídit různé části certifikátové infrastruktury. Nejde tedy pouze o nástroj pro automatickou obnovu HTTPS certifikátů, ale o platformu pro koordinaci celého jejich životního cyklu.

Jedno nastavení pro celý životní cyklus certifikátu

Hlavní výhoda TLM se projeví ve chvíli, kdy správce propojí jednotlivé části procesu do jednoho workflow. Určí zdroj certifikátu, způsob jeho vydání a ověření i cílové systémy, do kterých se má nasadit. Jednou vytvořený postup pak může TLM opakovaně používat bez nutnosti provádět stejné úkony ručně.

Automatizace může zahrnovat například:

• prvotní vydání certifikátu podle nastavených pravidel,
• ověření domény prostřednictvím připojeného DNS API,
• instalaci certifikátu na vybrané endpointy,
• včasnou obnovu před skončením jeho platnosti,
• opětovné vystavení nebo výměnu certifikátu,
• sledování certifikátů a souvisejících operací v centrálním inventáři.

Při obnově už administrátor nemusí certifikát znovu ručně objednávat, vytvářet ověřovací DNS záznamy, stahovat potřebné soubory ani je jednotlivě instalovat na servery. TLM podle nastaveného workflow zajistí potřebné kroky a doručí nový certifikát na určené místo.

Automatizace se tak neomezuje pouze na prodloužení platnosti. Pokrývá celý proces od vydání a ověření přes nasazení až po další obnovu nebo výměnu certifikátu. Správně nastavené workflow proto může organizaci sloužit po celý jeho životní cyklus.

Proč bude automatizace stále důležitější

Potřeba automatizace roste také v souvislosti s postupným zkracováním platnosti veřejných TLS certifikátů. Zatímco ještě donedávna mohl veřejný TLS certifikát platit až 398 dní, od 15. března 2026 se maximální doba platnosti podle pravidel CA/Browser Fora postupně zkracuje:

• od 15. března 2026 na maximálně 200 dní,
• od 15. března 2027 na maximálně 100 dní,
• od 15. března 2029 na maximálně 47 dní.

Certifikáty proto bude potřeba obnovovat, ověřovat a nasazovat podstatně častěji. U jednoho webu lze tento proces ještě zvládnout ručně. V organizaci, která spravuje stovky certifikátů na serverech, load balancerech, síťových zařízeních nebo v cloudových službách, však rychle narůstá množství práce i riziko lidské chyby. Stačí přehlédnout jedinou expiraci a výsledkem může být nedostupná služba nebo varování v prohlížeči.

TLM, ACME a další automatizační mechanismy proto budou hrát stále důležitější roli. Místo ručního sledování jednotlivých certifikátů umožňují automatizovat celý proces – od ověření a vydání přes nasazení až po včasnou obnovu.

Automatizace podle vlastní infrastruktury

Na Trust Lifecycle Manager se lze dívat jako na automatizační vrstvu mezi certifikačními autoritami a systémy, které certifikáty používají. Firma přitom nemusí svou infrastrukturu přizpůsobovat jedinému způsobu vydávání a nasazování certifikátů.

Z dostupných dílků si naopak sestaví proces podle vlastních potřeb. Připojí používanou veřejnou či privátní CA, DNS poskytovatele a následně servery, cloudy, load balancery, síťová zařízení nebo vaulty. TLM jednotlivé části propojí do společného automatizovaného workflow.

Menší prostředí může využít například ACME a automatizovat správu certifikátů na několika serverech. Větší firma může kombinovat více certifikačních autorit, DNS API, agenty, senzory a cloudové konektory. V obou případech zůstává cíl stejný: nastavit proces jednou a následně automatizovat vydávání, ověřování, nasazování i obnovu certifikátů.

S návrhem a nasazením řešení může pomoci také SSLmarket, který DigiCert Trust Lifecycle Manager nabízí a pomůže zvolit vhodnou podobu automatizace podle konkrétní infrastruktury. S postupným zkracováním platnosti TLS certifikátů bude podobný přístup stále důležitější.