Trust Lifecycle Manager: gestione dei certificati come un puzzle

29/lug/2026 | Jindřich Zechmeister

La gestione dei certificati segue ancora la stessa storia in molte aziende: un foglio Excel con le date di scadenza, promemoria via e-mail che nessuno legge e, di tanto in tanto, il panico quando scade il certificato di un servizio in produzione di cui nessuno sapeva nemmeno l’esistenza. DigiCert Trust Lifecycle Manager (TLM) cambia questa storia, e lo fa in un modo che forse si comprende meglio attraverso una semplice metafora: funziona come un sistema di costruzioni. Invece di un unico strumento rigido che impone un processo prestabilito, si ottiene un insieme di blocchi modulari. Combinandoli, è possibile creare esattamente la soluzione necessaria per ogni caso d’uso.

Nucleo del puzzle: orchestratore e discovery agent

DigiCert Trust Lifecycle Manager è una piattaforma per la gestione centralizzata dei certificati che copre l'intero ciclo di vita – dall'emissione alla distribuzione, monitoraggio, rinnovo e revoca. Invece di decine di portali, richieste manuali e fogli Excel, avrai un unico luogo da cui vedere e gestire i certificati in tutta l'organizzazione, sia che si tratti di server interni, siti pubblicamente accessibili, infrastruttura cloud o dispositivi di rete. Ed è proprio per servire questi ambienti così diversi che il cuore di questa piattaforma è occupato da due componenti chiave.

Orchestratore di automazione è il cervello del sistema. Qui si definiscono le regole – chi, cosa, quando e come emette, rinnova e distribuisce i certificati – e il TLM si prende cura dell'intero ciclo di vita autonomamente, senza interventi manuali.

Discovery agent sono gli occhi del sistema. Esplora la tua infrastruttura e cerca certificati di cui potresti non essere a conoscenza – dimenticati, emessi manualmente, emessi al di fuori delle politiche aziendali. Grazie a ciò, TLM diventa non solo uno strumento di automazione, ma anche una panoramica centrale di cosa gira effettivamente sulla tua rete.

Questa coppia è essenziale – ma la vera forza si manifesta quando inizi a comporre le singole automazioni tu stesso.

Tre elementi che scegli per ogni automazione

Per ogni automazione singola, nel TLM componi gradualmente tre strati:

1. Fonte dei certificati

Non sei legato a una sola autorità di certificazione. Puoi scegliere da dove provengono i certificati:

CA privata – per servizi interni, PKI interno, laddove non vuoi (o non puoi) uscire.

CA pubblica – là dove hai bisogno di un certificato affidabile per l'internet pubblico.

Entrambi possono essere combinati all'interno di una sola piattaforma secondo le necessità specifiche del progetto o del team.

2. Profilo del certificato

Determina quali certificati devono essere emessi nell'ambito di una determinata automazione – quale tipo, quali parametri, quale validità, quale politica. Il profilo funziona come un modello che l'automazione utilizza ripetutamente e in modo coerente, in modo che non accada che due amministratori emettano certificati con parametri diversi "secondo l'umore".

3. Metodo di distribuzione

Questo è l'elemento in cui si decide quanto sarà "senza manutenzione" l'automazione. TLM offre diversi percorsi e ognuno si adatta a una situazione diversa.

Agent viene installato direttamente sul server e gestisce localmente l'intero ciclo di vita del certificato – monitora la scadenza, richiede il certificato, lo distribuisce nel giusto archivio e in caso di necessità riavvia, o notifica del riavvio, i servizi dipendenti. È la variante più stretta ed affidabile per i server dove puoi permetterti di installare l'agent (IIS, Apache, Nginx, Tomcat e altri).

Sensor è la variante per situazioni in cui l'installazione di un agent completo non è desiderabile o possibile – tipicamente per dispositivi di rete, appliance, bilanciatori di carico o sistemi più vecchi. Il sensor scopre e monitora principalmente i certificati, la distribuzione avviene poi in modalità controllata attraverso il connettore o l'API pertinente, senza necessità di installare nulla sul sistema di destinazione.

Esportazione PFX è il metodo più semplice e universale – TLM genera un pacchetto con il certificato e la chiave privata che puoi scaricare o che viene automaticamente consegnato (ad esempio nel magazzino, su un disco condiviso, in uno script). È adatto laddove vuoi collegare la distribuzione con la tua automazione o pipeline CI/CD, oppure laddove agent e sensor non abbiano senso.

SCEP/EST coprono il mondo dei dispositivi di rete e degli endpoint client – firewall, router, concentratori VPN, stampanti, dispositivi IoT, dispositivi mobili gestiti tramite MDM. Il dispositivo richiede il certificato autonomamente tramite un protocollo standardizzato, il TLM lo emette automaticamente sulla base del profilo definito e lo restituisce senza alcun intervento manuale dell'amministratore.

ACME è poi la scelta per gli ambienti moderni orientati al DevOps – consente l'emissione e il rinnovo dei certificati completamente automatizzati tramite client ACME standard, simile a quanto sei abituato da CA pubbliche, ma collegato alle politiche e ai profili della tua organizzazione.

API e integrazione completano il quadro per i casi in cui vuoi integrare la distribuzione direttamente nei tuoi strumenti, nelle piattaforme di orchestrazione o nei portali interni.

Grazie a questa vasta gamma di opzioni, per ogni server o dispositivo si sceglie esattamente il metodo di distribuzione che corrisponde al suo carattere – senza compromessi del tipo "dobbiamo farlo manualmente perché lo strumento supporta solo un modo".

Tre semplici scelte – fonte, profilo, implementazione – e hai un'automazione perfettamente su misura per il server, l'applicazione o il team specifico. Nessuna automazione deve sembrare uguale a quella precedente.

Elementi espandibili: connettori

Le funzionalità di base (agent, sensor) possono essere ulteriormente estese tramite connettori, che il TLM collega ad altri sistemi della tua infrastruttura.

CA MS – connessione alla Microsoft Certificate Authority, se gestisci già una PKI interna in un ambiente Microsoft.

Cloud pubblici – connettori nativi per Azure, AWS e Google Cloud, grazie ai quali i certificati vengono gestiti direttamente dove effettivamente opera la tua infrastruttura cloud.

Grazie ai connettori, il TLM non si comporta come uno strumento isolato accanto alla tua infrastruttura, ma come una layer che si collega naturalmente ad essa – sia che tu abbia una PKI interna, multicloud, o entrambi contemporaneamente.

Verifica dei domini senza preoccupazioni

Una delle parti più fastidiose della gestione dei certificati pubblici è la verifica dei domini (DCV). TLM elimina questo dolore supportando l'automazione della DCV tramite oltre 160 provider DNS – incluso il ceco Zoner. Basta collegare l'account DNS e la verifica dei domini avviene completamente in automatico, senza l'inserimento manuale dei record e senza aspettare se la DCV è davvero riuscita.

Perché la metafora del puzzle funziona

La forza del DigiCert Trust Lifecycle Manager non è nel fare una cosa estremamente bene. È nel fornire pezzi – fonti dei certificati, profili, metodi di distribuzione, connettori, DCV automatizzate – da cui costruisci esattamente ciò di cui il tuo ambiente ha bisogno. Una piccola azienda con pochi server e un grande enterprise con un'infrastruttura multicloud e migliaia di certificati possono così utilizzare la stessa piattaforma, solo con elementi assemblati in modo diverso.

Il risultato è un sistema che cresce con te: inizi con una semplice automazione per pochi server e aggiungi gradualmente connettori, profili e fonti di certificati a seconda di come evolve la tua infrastruttura – senza dover cambiare piattaforma o ricominciare da zero.

Vuoi scoprire come potrebbe sembrare l'automazione dei certificati con DigiCert Trust Lifecycle Manager nel tuo ambiente? Contattaci su SSLmarket.it, saremo lieti di mostrarti come comporre questo puzzle su misura.

---