AWS Client VPN: watter CA moet kliëntsertifikate uitreik?

Die sertifikaatvraag by AWS Client VPN word as ’n produkvraag gestel, en dit is eintlik ’n bedryfsvraag. Enige van die drie gewone opstellings sal ’n werkende tonnel beëindig: ’n bestaande organisasie-CA, ’n toegewyde selfbestuurde uitreiker, of AWS Private CA. Hulle verskil in wie ’n toestel goedkeur, wie die ondertekeningsleutel hou, en wie antwoord wanneer ’n skootrekenaar op ’n ongeleë uur verdwyn. Kies die opsie wie se eienaar jy kan noem.

AWS vereis nie Private CA vir sertifikaatverifikasie nie. Om ’n bedienersertifikaat in ACM te plaas is ’n ontplooiingstap, nie ’n inskrywingsproses nie.

Die drie voorwaardes wat die keuse bepaal

Drie voorwaardes skei die opsies skoon: of daar reeds ’n goedgekeurde toestelinskrywingsproses bestaan, of jy ’n ondertekeningsleutel met rugsteune en ’n aangewese eienaar kan bedryf, en hoe ’n herroeping die eindpunt bereik. Elkeen is naaste aan ’n ja of ’n nee, en die eerste nee beslis gewoonlik die argitektuur.

Werk hulle in volgorde deur. Om dadelik na ’n kostevergelyking te spring, is hoe spanne met ’n bestuurde CA sit en niemand weet wie die volgende skootrekenaarsertifikaat uitreik nie.

Voorwaarde een: bestaan inskrywing reeds?

As jou organisasie reeds ’n CA met ’n goedgekeurde toestelinskrywingspad bedryf, is die uitreik van Client VPN-kliëntsertifikate daaruit die kortste roete. Die goedkeurings, die proses en die bateverwysings is reeds daar. ’n Toegewyde ondergeskikte uitreiker onder daardie hiërargie is gewoonlik beter as die algemene uitreik-CA, want dit gee die VPN sy eie vertrouensgrens en sy eie herroepingslys. Hou daardie lys apart van die res van die hiërargie sodat ’n VPN-voorval nie ’n PKI-wye verandering afdwing nie.

As geen sulke proses bestaan nie, is die werklike vraag of jy een wil bou. ’n CA is maklik om te begin en duur om sleg te besit.

Voorwaarde twee: kan jy ’n ondertekeningsleutel bedryf?

’n Selfbestuurde uitreiker werk met die gedokumenteerde invoermodel, en EasyRSA of ’n klein interne hulpmiddel kan die materiaal lewer. Om die opdrag te laat loop is nie die moeilike deel nie. Die moeilike deel is vanlyn rugsteune van die ondertekeningsleutel, ’n herstelpad wat iemand werklik getoets het, ’n eienaar wat nie met vakansie is nie, en ’n reël dat die sleutel nooit in ’n kliëntbondel of ’n konfigurasie-uitvoer beland nie. Skryf dit as ’n prosedure neer voordat die eerste sertifikaat uitgereik word, nie ná die eerste voorval nie.

AWS Private CA skuif daardie bewaring na ’n bestuurde diens. Dit skuif nie die inskrywingsbeleid, die goedkeuringstap of die aflewering van die sertifikaat aan die toestel nie.

Voorwaarde drie: hoe kom herroeping aan?

Client VPN gebruik ’n herroepingslys vir kliëntsertifikate wat jy in die eindpunt invoer, soos beskryf in die gids oor die sertifikaatlewensiklus. Om ’n CRL elders in jou PKI te publiseer, stoot dit nie in die diens in nie. Die invoer is ’n aparte, geskeduleerde bewerking, en ’n lys wat verval het, stop verbindings eerder as om stilweg te verswak. Sit die vernuwing op dieselfde kalender as die sertifikate self.

Dit maak vernuwing ’n moniteringsitem met ’n eienaar, nie ’n taak wat jy by die bekendstelling afhandel nie. Herroep een toetsertifikaat van begin tot end voordat jy die meganisme werklik nodig het.

Wat nie een van die opsies verwyder nie

Elke opsie benodig steeds een afsonderlike kliëntsertifikaat en -sleutel per onafhanklik bestuurde toestel. ’n Handleiding wat een identiteit aan almal uitdeel, is ’n handleidingskortpad, en dit maak selektiewe herroeping onmoontlik.

Ingevoerde bedienersertifikate in ACM het geen bestuurde vernuwing nie, so die eienaar moet die vervanging kry, dit weer invoer en dan bevestig dat die eindpunt dit aanvaar het. Om die bedienersertifikaat te vernu, vernu nie die kliëntbewyse wat reeds op skootrekenaars sit nie. Dit is aparte lewensiklusse met aparte kalenders.

Kontroleer die sleuteltipes en uitbreidings wat die diens aanvaar voordat jy enigiets uitreik. ’n CA wat ’n algoritme ondersteun, beteken nie die eindpunt sal dit aanvaar nie.

Voor die bekendstelling, laat een vernuwing en een verwydering van ’n kliënt deur die werkstroom loop wat jy gekies het, en skryf neer watter bewyse verander het, watter eindpuntinstelling verander het en wat met die aktiewe sessie gebeur het. As daardie oefening sonder ’n duidelike eienaar eindig, is die keuse van uitreiker nie klaar nie.