AWS Client VPN: quin CA ha d’emetre els certificats de client?

La pregunta sobre els certificats a AWS Client VPN es planteja com una pregunta de producte, i en realitat és una pregunta d’operacions. Qualsevol de les tres configuracions habituals mantindrà un túnel funcionant: un CA organitzatiu existent, un emissor propi dedicat o AWS Private CA. Es diferencien en qui aprova un dispositiu, qui guarda la clau de signatura i qui respon quan un portàtil desapareix a una hora incòmoda. Trieu l’opció el propietari de la qual pugueu nomenar.

AWS no requereix Private CA per a l’autenticació per certificat. Col·locar un certificat de servidor a ACM és un pas de desplegament, no un procés d’inscripció.

Les tres condicions que ho decideixen

Tres condicions separen les opcions amb claredat: si ja existeix un procés aprovat d’inscripció de dispositius, si podeu operar una clau de signatura amb còpies de seguretat i un propietari nomenat, i com arriba una revocació al punt final. Cadascuna és a prop d’un sí o un no, i el primer no acostuma a decidir l’arquitectura.

Treballen-les per ordre. Saltar directament a una comparació de costos és com els equips acaben amb un CA gestionat i ningú que sàpiga qui emetrà el proper certificat de portàtil.

Condició primera: ja hi ha inscripció?

Si la vostra organització ja opera un CA amb un camí aprovat d’inscripció de dispositius, emetre’n els certificats de client de Client VPN és la ruta més curta. Les aprovacions, el procés i els registres d’actius ja hi són. Un emissor subordinat dedicat dins d’aquesta jerarquia sol ser millor que el CA emissor d’ús general, perquè dona a la VPN la seva pròpia frontera de confiança i la seva pròpia llista de revocació. Manteniu aquesta llista separada de la resta de la jerarquia perquè un incident de VPN no obligui a un canvi a tot el PKI.

Si no existeix aquest procés, la pregunta real és si voleu construir-ne un. Un CA és fàcil de començar i car de posseir malament.

Condició segona: podeu operar una clau de signatura?

Un emissor propi funciona amb el model d’importació documentat, i EasyRSA o una petita eina interna poden produir el material. Executar l’ordre no és la part difícil. La part difícil són les còpies de seguretat fora de línia de la clau de signatura, un camí de recuperació que algú hagi provat de veritat, un propietari que no estigui de vacances i una regla que la clau no acabi mai en un paquet de client ni en una exportació de configuració. Escriviu-ho com a procediment abans que s’emeti el primer certificat, no després del primer incident.

AWS Private CA trasllada aquesta custòdia a un servei gestionat. No trasllada la política d’inscripció, el pas d’aprovació ni el lliurament del certificat al dispositiu.

Condició tercera: com arriba la revocació?

Client VPN consumeix una llista de revocació de certificats de client que importeu al punt final, tal com es descriu a la guia del cicle de vida dels certificats. Publicar una CRL en un altre lloc del vostre PKI no la fa arribar al servei. La importació és una operació separada i programada, i una llista vençuda atura les connexions en lloc de degradar-se en silenci. Poseu l’actualització al mateix calendari que els certificats.

Això converteix l’actualització en un element de monitoratge amb propietari, no en una tasca que s’acaba al llançament. Revocau un certificat de prova de cap a cap abans que necessiteu el mecanisme de debò.

Què no elimina cap de les opcions

Totes les opcions necessiten encara un certificat de client i una clau diferents per a cada dispositiu gestionat de manera independent. Un tutorial que reparteix una sola identitat a tothom és un abreviatura de tutorial, i també fa impossible la revocació selectiva.

Els certificats de servidor importats a ACM no tenen renovació gestionada, així que el propietari ha d’obtenir el reemplaçament, tornar-lo a importar i després confirmar que el punt final l’ha adoptat. Renovar el certificat de servidor no renova les credencials de client que ja són als portàtils. Són cicles de vida separats amb calendaris separats.

Comproveu els tipus de clau i les extensions que accepta el servei abans d’emetre res. Que un CA admeti un algorisme no vol dir que el punt final l’accepti.

Abans del llançament, feu passar una renovació i una retirada de client pel flux de treball que heu triat, i anoteu quina credencial ha canviat, quin paràmetre del punt final ha canviat i què ha passat amb la sessió activa. Si aquest exercici acaba sense un propietari clar, l’elecció d’emissor no està acabada.