Mit Lemur stellt Netflix ein eigenes Framework zum Orchestrieren von X.509-Zertifikaten unter die Apache-2.0-Lizenz.
Zertifikatemanagement in einer Public Key Infrastructure (PKI) sei eine Herausforderung, schreiben die Netflix-Entwicker in der Ankündigung. Ihre Software soll öffentliche Zertifikate und private Schlüssel verwalten und Kontakt zu den Certificate Authorities (CAs) halten. Das Problem: Zertifikate haben Verfallsdaten und müssen verschiedenste Browser unterstützen, private Schlüssel müssen geheim bleiben und die Tools zum PKI-Handling und zur Zertifikate-Erzeugung bringen, zumindest für Nicht-Experten, teils verwirrende Optionen mit.
Da Netflix komplett auf HTTPS umstelle, müssen die Entwickler Zertifikate für ihre Dienste ausliefern. Das sieht dann wie auf der Abbildung 1 aus und besteht aus verschiedenen Schritten. Hier kommt nun Lemur ins Spiel, das als Vermittler zwischen den CAs und den internen Deployment und Verwaltungstools auftritt. Für die meisten Fälle kennt es Standards und Templates, reduziert die Berührungsfläche der Admins mit sensiblen Zertifikaten und bietet einen zentralen Ort an, um den Lebenszyklus der Zertifikate zu steuern und zu überwachen.
Typischer Workflow im Umgang mit Zertifikaten (Quelle: http://techblog.netflix.com).
Es ist nicht an AWS gebunden, sondern lässt sich in nahezu alle existierenden Umgebungen einbinden. Den Workflow aus Sicht eines Admins zeigt Abbildung 2. Zu den diskutablen Vorteilen gehöre, dass Entwickler keine Open-SSL-Kommandos mehr kennen und den Umgang mit sensiblen Schlüsseln nicht erlernen müssen. Die Zertifikate seien sofort einsetzbar und die Schlüsselstärken bekannt. Lemur könne Schlüssel und Zertifikate zudem im Auge behalten und Benachrichtigungen verschicken.
Einsatzszenario von Lemur (Quelle: http://techblog.netflix.com)
In der Ankündigung stellt Netflix sein Tool ausführlich vor. Es nutzt Python 2.7 und 3.4 mit dem Flask-API, eine Angular-JS-Oberfläche, Postgres und optional Amazons Simple E-Mail Service (SES). Lemur lässt sich über Github herunterladen, aktuell ist die Version 0.1.3.
