Fluxo de emissão
Visão geral do caminho completo de uma emissão no CLM — da configuração da Autoridade Certificadora até o certificado assinado aparecer no inventário.
O processo tem duas fases: configurar a CA uma vez e, depois, emitir quantos certificados precisar por ela.
Fase 1 — Configurar a CA
1. Conectar a integração
Acesse Integrations, localize o card da CA desejada e clique em Conectar.
No modal Register account, preencha:
| Campo | Descrição |
|---|---|
| Name | Identificador da conta no CLM, ex: Sectigo Production |
| Endereço de contato registrado junto à CA | |
| Directory URL (ACME) | Vem pré-preenchida com a URL oficial da CA. Clique no lápis para editar se sua conta usa um endpoint próprio |
| EAB Key ID | Identificador da credencial de External Account Binding, quando a CA exigir |
| EAB HMAC Key | Chave HMAC correspondente. É armazenada criptografada e nunca exibida novamente |
Clique em Register.
2. A conta fica aguardando registro
Após salvar, a conta aparece como aguardando registro. Isso é esperado.
O CLM não registra a conta na CA no momento em que você clica em Register — ele guarda as credenciais e faz o registro efetivo junto à CA na primeira ordem de assinatura enviada.
Por isso, credenciais incorretas de EAB só acusam erro na primeira emissão, não no cadastro. Se a primeira emissão falhar com erro de EAB, revise as credenciais no modal de edição antes de tentar de novo.
Fase 2 — Emitir um certificado
3. Criar a solicitação
Acesse CSR no menu lateral e clique em New Request.
4. Step 1 — Identificação
| Campo | Descrição |
|---|---|
| Certificate Name | Nome para identificar o certificado no CLM |
| Certificate Type | SSL/TLS (preenchido automaticamente) |
| Domain / Common Name | Domínio principal. Aceita wildcard, ex: *.example.com |
| Alternative Names / SANs | Domínios adicionais separados por vírgula (opcional) |
| Key Size | 2048, 3072 ou 4096 bits (opcional — padrão 2048) |
Clique em Continuar.
5. Step 2 — CA e Configuração
Selecione a Certificate Authority na lista. As opções disponíveis dependem das integrações configuradas na Fase 1.
Para CAs via ACME, o formulário exibe:
- ACME Account — selecione a conta registrada para essa CA
- Validation Method — escolha entre:
| Método | Como funciona |
|---|---|
| HTTP Challenge | O CLM serve um arquivo em /.well-known/acme-challenge no domínio |
| DNS Challenge | O CLM cria um registro TXT _acme-challenge no DNS do domínio |
Ao escolher DNS Challenge, aparece a opção de DNS Auto-Validation (AWS Route 53):
| Modo | Comportamento |
|---|---|
| Manual | O CLM mostra o registro TXT e você o publica no seu DNS |
| Automatic | O CLM cria o registro TXT via Route 53, aguarda a propagação e conclui a emissão sem intervenção |
No modo automático, selecione a AWS Integration (Route 53) e a Hosted Zone correspondente ao domínio.
Use o campo Notes para registrar informações adicionais da solicitação (opcional). Clique em Continuar.
A combinação DNS Challenge + Auto-Validation via Route 53 permite emitir sem nenhum passo manual — é a configuração recomendada para wildcards e para domínios sem porta 80 exposta.
6. Step 3 — Revisão
Confira o resumo de Identificação e CA e Configuração. Use Editar para voltar a qualquer etapa. Clique em Submeter solicitação.
7. Acompanhar a validação
Clique na solicitação para abrir o modal Validação de domínio. Ele mostra em tempo real:
- Status DNS — publicação e verificação do registro
- Tipo de Registro, Name e Value do desafio
- Log de progresso — cada etapa da ordem ACME, da criação do pedido à emissão
No modo automático, nenhuma ação é necessária — o agente cria o registro, aguarda a propagação e solicita a validação à CA.
8. Certificado no inventário
Concluída a validação, o certificado assinado aparece em Certificates, com data de expiração e renovação automática já configuradas.
Próximos passos
Cada CA tem requisitos e particularidades próprias — credenciais, registro CAA, restrições de domínio. Veja o guia da sua CA para os detalhes específicos antes de emitir.