AWS Client VPN: hvilken CA skal udstede klientcertifikater?
En eksisterende CA, en selvkørende udsteder og AWS Private CA fordeler arbejdet forskelligt. Beslut, hvem der godkender, fornyer og tilbagekalder klientcertifikater, før I går i gang.
Certifikatspørgsmålet på AWS Client VPN stilles som et produktspørgsmål, og det er i virkeligheden et driftsmæssigt spørgsmål. Enhver af de tre sædvanlige opsætninger vil holde en fungerende tunnel kørende: en eksisterende organisatorisk CA, en dedikeret selvkørende udsteder eller AWS Private CA. De adskiller sig i, hvem der godkender en enhed, hvem der holder signeringsnøglen, og hvem der svarer, når en bærbar computer forsvinder på et ubelejligt tidspunkt. Vælg den mulighed, hvis ejer du kan navngive.
AWS kræver ikke Private CA til certifikatbaseret godkendelse. At placere et servercertifikat i ACM er et udrulningstrin, ikke en tilmeldingsproces.
De tre betingelser, der afgør det
Tre betingelser skiller mulighederne rent: om der allerede findes en godkendt enhedstilmelding, om I kan drive en signeringsnøgle med sikkerhedskopier og en navngiven ejer, og hvordan en tilbagekaldelse når endepunktet. Hver er tæt på et ja eller nej, og det første nej afgør som regel arkitekturen.
Tag dem i rækkefølge. At springe direkte til en omkostningssammenligning er, hvordan teams ender med en administreret CA og ingen, der ved, hvem der udsteder det næste certifikat til en bærbar.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Betingelse et: findes tilmeldingen allerede?
Hvis jeres organisation allerede driver en CA med en godkendt vej til enhedstilmelding, er udstedelse af klientcertifikater til Client VPN derfra den korteste vej. Godkendelserne, processen og aktivregistreringerne er allerede der. En dedikeret underordnet udsteder under det hierarki er som regel bedre end den generelle udstedende CA, fordi den giver VPN’en sin egen tillidsgrænse og sin egen tilbagekaldelsesliste. Hold den liste adskilt fra resten af hierarkiet, så en VPN-hændelse ikke tvinger en ændring i hele PKI’en igennem.
Findes en sådan proces ikke, er det egentlige spørgsmål, om I vil bygge en. En CA er let at starte og dyr at eje dårligt.
Betingelse to: kan I drive en signeringsnøgle?
En selvkørende udsteder fungerer med den dokumenterede importmodel, og EasyRSA eller et lille internt værktøj kan fremstille materialet. At køre kommandoen er ikke den svære del. Den svære del er offline sikkerhedskopier af signeringsnøglen, en genopretningsvej, som nogen faktisk har testet, en ejer, der ikke er på ferie, og en regel om, at nøglen aldrig ender i en klientpakke eller en konfigurationseksport. Skriv det ned som en procedure, før det første certifikat udstedes, ikke efter den første hændelse.
AWS Private CA flytter den opbevaring til en administreret tjeneste. Det flytter ikke tilmeldingspolitikken, godkendelsestrinnet eller leveringen af certifikatet til enheden.
Betingelse tre: hvordan ankommer tilbagekaldelsen?
Client VPN bruger en tilbagekaldelsesliste for klientcertifikater, som I importerer til endepunktet, som beskrevet i vejledningen om certifikatets livscyklus. At udgive en CRL andre steder i jeres PKI skubber den ikke ind i tjenesten. Importen er en separat, planlagt operation, og en udløbet liste stopper forbindelser i stedet for at forringes stille. Læg fornyelsen på samme kalender som certifikaterne selv.
Det gør fornyelse til et overvågningspunkt med en ejer, ikke en opgave, I afslutter ved lanceringen. Tilbagekald et testcertifikat fra ende til anden, før I har brug for mekanismen for alvor.
Hvad ingen af mulighederne fjerner
Hver mulighed kræver stadig et særskilt klientcertifikat og en særskilt nøgle pr. uafhængigt administreret enhed. En vejledning, der udleverer én identitet til alle, er en genvej i vejledningen, og den gør også selektiv tilbagekaldelse umulig.
Importerede servercertifikater i ACM har ingen administreret fornyelse, så ejeren skal skaffe erstatningen, importere den igen og derefter bekræfte, at endepunktet har taget den i brug. At forny servercertifikatet fornyer ikke de klientoplysninger, der allerede ligger på bærbare computere. Det er adskilte livscyklusser med adskilte kalendere.
Kontroller de nøgletyper og udvidelser, som tjenesten accepterer, før I udsteder noget. At en CA understøtter en algoritme betyder ikke, at endepunktet accepterer den.
Kør før lanceringen én fornyelse og én fjernelse af en klient gennem det arbejdsforløb, I har valgt, og skriv ned, hvilke legitimationsoplysninger der ændrede sig, hvilken endepunktsindstilling der ændrede sig, og hvad der skete med den aktive session. Hvis øvelsen slutter uden en klar ejer, er valget af udsteder ikke færdigt.