AWS Client VPN: ποια CA πρέπει να εκδίδει πιστοποιητικά πελάτη;

Το ερώτημα για τα πιστοποιητικά στο AWS Client VPN τίθεται ως ερώτημα προϊόντος, και στην πραγματικότητα είναι ερώτημα λειτουργίας. Οποιαδήποτε από τις τρεις συνήθεις ρυθμίσεις θα κρατήσει ένα λειτουργικό τούνελ: μια υπάρχουσα οργανωτική CA, ένας αποκλειστικός αυτοδιαχειριζόμενος εκδότης ή το AWS Private CA. Διαφέρουν ως προς το ποιος εγκρίνει μια συσκευή, ποιος κρατά το κλειδί υπογραφής και ποιος απαντά όταν ένας φορητός υπολογιστής χαθεί σε άβολη ώρα. Διαλέξτε την επιλογή της οποίας τον υπεύθυνο μπορείτε να ονομάσετε.

Το AWS δεν απαιτεί Private CA για έλεγχο ταυτότητας με πιστοποιητικά. Η τοποθέτηση πιστοποιητικού διακομιστή στο ACM είναι βήμα ανάπτυξης, όχι διαδικασία εγγραφής.

Οι τρεις συνθήκες που το κρίνουν

Τρεις συνθήκες χωρίζουν καθαρά τις επιλογές: αν υπάρχει ήδη εγκεκριμένη διαδικασία εγγραφής συσκευών, αν μπορείτε να λειτουργήσετε κλειδί υπογραφής με αντίγραφα ασφαλείας και ορισμένο υπεύθυνο, και πώς φτάνει μια ανάκληση στο τελικό σημείο. Καθεμία είναι κοντά σε ναι ή όχι, και το πρώτο όχι συνήθως καθορίζει την αρχιτεκτονική.

Δουλέψτε τις με σειρά. Το άλμα κατευθείαν σε σύγκριση κόστους είναι ο τρόπος με τον οποίο οι ομάδες καταλήγουν με μια διαχειριζόμενη CA και κανέναν που να ξέρει ποιος εκδίδει το επόμενο πιστοποιητικό φορητού.

Συνθήκη πρώτη: υπάρχει ήδη εγγραφή;

Αν ο οργανισμός σας λειτουργεί ήδη CA με εγκεκριμένη διαδρομή εγγραφής συσκευών, η έκδοση πιστοποιητικών πελάτη για το Client VPN από αυτήν είναι η συντομότερη διαδρομή. Οι εγκρίσεις, η διαδικασία και τα αρχεία πόρων υπάρχουν ήδη. Ένας αποκλειστικός υποκείμενος εκδότης σε αυτή την ιεραρχία είναι συνήθως καλύτερος από τη γενική εκδοτική CA, γιατί δίνει στο VPN το δικό του όριο εμπιστοσύνης και τη δική του λίστα ανάκλησης. Κρατήστε αυτή τη λίστα ξεχωριστή από το υπόλοιπο της ιεραρχίας ώστε ένα περιστατικό VPN να μην επιβάλλει αλλαγή σε όλο το PKI.

Αν δεν υπάρχει τέτοια διαδικασία, το πραγματικό ερώτημα είναι αν θέλετε να χτίσετε μία. Η CA ξεκινά εύκολα και κοστίζει ακριβά όταν τη συντηρείς άσχημα.

Συνθήκη δεύτερη: μπορείτε να λειτουργήσετε κλειδί υπογραφής;

Ο αυτοδιαχειριζόμενος εκδότης δουλεύει με το τεκμηριωμένο μοντέλο εισαγωγής, και το EasyRSA ή ένα μικρό εσωτερικό εργαλείο μπορεί να παράγει το υλικό. Η εκτέλεση της εντολής δεν είναι το δύσκολο μέρος. Το δύσκολο μέρος είναι τα αντίγραφα ασφαλείας εκτός σύνδεσης του κλειδιού υπογραφής, μια διαδρομή ανάκτησης που κάποιος έχει δοκιμάσει πραγματικά, ένας υπεύθυνος που δεν είναι σε διακοπές, και ένας κανόνας ότι το κλειδί δεν καταλήγει ποτέ σε πακέτο πελάτη ή εξαγωγή ρυθμίσεων. Γράψτε το ως διαδικασία πριν εκδοθεί το πρώτο πιστοποιητικό, όχι μετά το πρώτο περιστατικό.

Το AWS Private CA μεταφέρει αυτή τη φύλαξη σε διαχειριζόμενη υπηρεσία. Δεν μεταφέρει την πολιτική εγγραφής, το βήμα έγκρισης ή την παράδοση του πιστοποιητικού στη συσκευή.

Συνθήκη τρίτη: πώς φτάνει η ανάκληση;

Το Client VPN καταναλώνει λίστα ανάκλησης πιστοποιητικών πελάτη που εισάγετε στο τελικό σημείο, όπως περιγράφεται στον οδηγό κύκλου ζωής πιστοποιητικών. Η δημοσίευση CRL αλλού στο PKI σας δεν τη σπρώχνει στην υπηρεσία. Η εισαγωγή είναι ξεχωριστή, προγραμματισμένη λειτουργία, και μια λίστα που έχει λήξει σταματά τις συνδέσεις αντί να υποβαθμίζεται σιωπηλά. Βάλτε την ανανέωση στο ίδιο ημερολόγιο με τα ίδια τα πιστοποιητικά.

Αυτό κάνει την ανανέωση στοιχείο παρακολούθησης με υπεύθυνο, όχι εργασία που τελειώνει στην έναρξη. Ανακαλέστε ένα δοκιμαστικό πιστοποιητικό από άκρη σε άκρη πριν χρειαστείτε τον μηχανισμό για τα καλά.

Τι δεν αφαιρεί καμία από τις επιλογές

Κάθε επιλογή χρειάζεται ακόμη ένα ξεχωριστό πιστοποιητικό πελάτη και κλειδί για κάθε ανεξάρτητα διαχειριζόμενη συσκευή. Ένα σεμινάριο που μοιράζει μία ταυτότητα σε όλους είναι συντόμευση σεμιναρίου, και κάνει επίσης την επιλεκτική ανάκληση αδύνατη.

Τα εισαγόμενα πιστοποιητικά διακομιστή στο ACM δεν έχουν διαχειριζόμενη ανανέωση, οπότε ο υπεύθυνος πρέπει να προμηθευτεί το αντικαταστάτη, να το εισαγάγει ξανά και μετά να επιβεβαιώσει ότι το τελικό σημείο το υιοθέτησε. Η ανανέωση του πιστοποιητικού διακομιστή δεν ανανεώνει τα διαπιστευτήρια πελάτη που βρίσκονται ήδη στους φορητούς. Αυτοί είναι ξεχωριστοί κύκλοι ζωής με ξεχωριστά ημερολόγια.

Ελέγξτε τους τύπους κλειδιών και τις επεκτάσεις που δέχεται η υπηρεσία πριν εκδώσετε οτιδήποτε. Το ότι μια CA υποστηρίζει έναν αλγόριθμο δεν σημαίνει ότι το τελικό σημείο θα τον δεχτεί.

Πριν την έναρξη, εκτελέστε μία ανανέωση και μία αφαίρεση πελάτη μέσα από τη ροή εργασίας που επιλέξατε, και σημειώστε ποιο διαπιστευτήριο άλλαξε, ποια ρύθμιση τελικού σημείου άλλαξε και τι συνέβη στην ενεργή συνεδρία. Αν η άσκηση τελειώσει χωρίς σαφή υπεύθυνο, η επιλογή εκδότη δεν έχει ολοκληρωθεί.