Dirprwyo cyhoeddi tystysgrifau VPN heb y prif allwedd

Mae rhoi'r gallu i rywun gofrestru cleientiaid VPN a rhoi copi cludadwy o'r prif allwedd iddo yn ddau weithred wahanol, a dim ond pan fydd y person hwnnw'n gadael neu'r allwedd honno'n gollwng y daw'r gwahaniaeth i'r golwg. Mae'r cyntaf yn caniatáu gweithrediad o fewn llif gwaith rydych chi'n ei reoli; mae'r ail yn caniatáu creu ymddiriedaeth unrhyw le, all-lein, am gyfnod amhenodol. Penderfynwch pa un sydd ei angen ar y gwaith cyn cyffwrdd ag unrhyw ddeunydd allweddol. Ni fydd diagram hierarchaeth yn ateb y cwestiwn hwnnw drosoch.

Ysgrifennwch y gwaith cofrestru fel tri chwestiwn: pwy all ofyn, pwy sy'n cymeradwyo, a beth y caiff y gydran gyhoeddi ei lofnodi.

Penderfynwch pa allu rydych chi'n ei roi

Gall gwasanaeth cyhoeddi ddangos llif cymeradwyo tra'n cadw'r deunydd llofnodi o dan berchennog ar wahân. Mae gweithredwr yn cymeradwyo cais dyfais, mae'r gwasanaeth yn cymhwyso polisi ac yn cofnodi'r cyhoeddiad, ac nid oes neb dan sylw yn dal allwedd CA. Dogfenwch y hunaniaethau a ganiateir, y cymeradwywyr, a'r amrediad o'r hyn y caiff y gwasanaeth ei lofnodi; yna diogeler ei weinyddiaeth mor ofalus â'r allwedd. Cais yw cais llofnodi tystysgrif, nid penderfyniad awdurdodi.

Mae storfa â chymorth caledwedd yn newid y risg o gopïo'r allwedd, nid yr angen am awdurdodiad. Mae anghludadwy yn golygu na ellir tynnu'r allwedd allan, ac nid yw'n golygu bod gan unrhyw un sy'n gallu galw'r rhyngwyneb llofnodi hawl i dystysgrif. Aseswch y ddau briodwedd hynny ar wahân.

Mae canolradd yn ffinio'r awdurdod

Gall gwraidd ardystio canolradd ar gyfer cyhoeddi bob dydd, fel nad yw gwaith arferol yn cyffwrdd â'r prif allwedd mwyach, cyhyd ag y bydd gweithdrefnau llofnodi ac adfer y gwraidd ei hun yn parhau'n warchodedig. Mae'n ffin wirioneddol ac nid yw'n rhad: tystysgrif arall, allwedd arall, adnewyddiad arall a rhestr ddiddymu arall i'w chynnal. Defnyddiwch un pan fydd yn cynrychioli ffin rheoli neu risg fwriadol. Mae creu cyhoeddwr fesul gweinyddwr yn cynhyrchu mwy o bopeth ac yn prynu dim nad oedd y llif gwaith eisoes yn ei ddarparu.

Gwiriwch fod dilyswyr VPN yn adeiladu'r gadwyn fel rydych chi'n disgwyl. Mae cludo canolradd ar gyfer adeiladu cadwyn a'i osod fel angor a ymddiriedir yn uniongyrchol yn drefniadau gwahanol.

Nid yw pathLen sero yn golygu'r hyn rydych chi'n ei feddwl

Mae RFC 5280 adran 4.2.1.9 yn diffinio cyfyngiadau sylfaenol, ac mae ei faes hyd llwybr yn cyfyngu faint o dystysgrifau canolraddol nad ydynt wedi'u hunangyhoeddi a all ddilyn mewn llwybr dilys. Mae gwerth sero yn cyfyngu ar ddyfnder canolraddol pellach; nid yw'n cyfyngu ar nifer y tystysgrifau endid terfynol. Mae pobl yn ei ddarllen fel sero tystysgrif yn cael eu caniatáu ac yna'n rhyfeddu pam mae cyhoeddi'n dal i weithio. Darllenwch y maes fel terfyn dyfnder ar CAau, a daw'r ymddygiad yn rhagweladwy.

Mae'r un adran yn awgrymu bod angor ymddiriedaeth yn fewnbwn i ddilysu llwybr yn hytrach na thystysgrif gyffredin y tu mewn i'r llwybr. Dyna pam nad yw cyhoeddi cofnod diddymu ar gyfer gwraidd hunanlofnod yn ei dynnu'n ddibynadwy o bob storfa.

Nid yw gadael y swydd yn gyfaddawd allwedd

Pan nad oedd gan y person sy'n gadael ddim ond cyfrif rheoli personol, diddymwch y mynediad hwnnw a'i sesiynau drwy'r broses hunaniaeth a gefnogir, yna adolygwch y gweithgaredd a'r cymeradwyaethau a gynhyrchodd. Nid yw tystysgrifau cleient a gyhoeddwyd yn flaenorol yn dod yn annilys am fod eu cymeradwywr wedi gadael, ac mae eu trin fel rhai cyfaddawd yn creu ailgofrestru mawr, diangen. Ni all analluogi cyfrif annilysu allwedd llofnodi wedi'i chopïo chwaith, felly mae'r ymateb yn dibynnu ar ba allu a ddelid.

Pan fydd canolradd yn cael ei chyfaddawdu, rhaid tynnu ei awdurdodiad a disodli pob hunaniaeth y bu'n achub ei cham, gan ddilyn pa bynnag bolisi y mae'r dilysydd yn ei orfodi. Mae gan ymddiriedaeth gwraidd ei hymateb ei hun, oherwydd mae'r angor yn byw mewn storfeydd ymddiriedaeth na fyddwch efallai'n eu rheoli.

Derbyniwch y dyluniad gyda phedwar achos concrit: mae dyfais gymwys yn cofrestru, mae cais heb ei gymeradwyo yn cael ei wrthod, ni all gweithredwr sydd wedi'i dynnu gyhoeddi mwyach, ac nid yw cyhoeddwr sydd wedi ymddeol yn rhoi mynediad mwyach. Y pedwar canlyniad hynny yw'r runbook.