AWS Client VPN: kiu CA devas eldoni klientajn atestojn?
Ekzistanta CA, memfunkciigita eldonanto kaj AWS Private CA dividas la laboron malsame. Decidu, kiu aprobas, renovigas kaj revokas klientajn atestojn antaŭ la lanĉo.
La atesta demando ĉe AWS Client VPN estas starigata kiel produkta demando, kaj ĝi fakte estas operacia demando. Ĉiu el la tri kutimaj agordoj tenos funkciantan tunelon: ekzistanta organiza CA, dediĉita memfunkciigita eldonanto, aŭ AWS Private CA. Ili diferencas laŭ tio, kiu aprobas aparaton, kiu tenas la subskriban ŝlosilon, kaj kiu respondas kiam tekkomputilo malaperas en maloportuna horo. Elektu la opcion, kies posedanton vi povas nomi.
AWS ne postulas Private CA por atesta aŭtentikigo. Meti servilan ateston en ACM estas disfaldiga paŝo, ne enskribiĝa procezo.
La tri kondiĉoj, kiuj decidas
Tri kondiĉoj klare apartigas la opciojn: ĉu jam ekzistas aprobita procezo de aparata enskribiĝo, ĉu vi povas funkciigi subskriban ŝlosilon kun sekurkopioj kaj nomita posedanto, kaj kiel revoko atingas la finpunkton. Ĉiu estas proksima al jes aŭ ne, kaj la unua ne kutime decidas la arkitekturon.
Trairu ilin laŭ ordo. Salti rekte al kosta komparo estas kiel teamoj finiĝas kun administrata CA kaj neniu, kiu scias, kiu eldonos la sekvan tekkomputilan ateston.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Unua kondiĉo: ĉu enskribiĝo jam ekzistas?
Se via organizo jam funkciigas CA kun aprobita vojo de aparata enskribiĝo, eldoni klientajn atestojn de Client VPN el ĝi estas la plej mallonga vojo. La aproboj, la procezo kaj la registroj de aktivaĵoj jam estas tie. Dediĉita suba eldonanto sub tiu hierarkio kutime pli bonas ol la ĝeneraluza eldona CA, ĉar ĝi donas al la VPN propran fidlimon kaj propran revokliston. Tenu tiun liston aparte de la resto de la hierarkio, por ke VPN-incidento ne devigu ŝanĝon en la tuta PKI.
Se tia procezo ne ekzistas, la vera demando estas, ĉu vi volas konstrui unu. CA estas facile komenci kaj multekoste posedi malbone.
Dua kondiĉo: ĉu vi povas funkciigi subskriban ŝlosilon?
Memfunkciigita eldonanto funkcias kun la dokumentita importmodelo, kaj EasyRSA aŭ malgranda interna ilo povas produkti la materialon. Ruli la komandon ne estas la malfacila parto. La malfacila parto estas senretaj sekurkopioj de la subskriba ŝlosilo, restaŭra vojo, kiun iu efektive testis, posedanto, kiu ne estas ferianta, kaj regulo, ke la ŝlosilo neniam eniĝu en klientan pakaĵon aŭ agordan eksporton. Skribu tion kiel proceduron antaŭ ol eldoniĝos la unua atesto, ne post la unua incidento.
AWS Private CA translokas tiun gardadon en administratan servon. Ĝi ne translokas la enskribiĝan politikon, la aproban paŝon, nek la transdonon de la atesto al la aparato.
Tria kondiĉo: kiel alvenas revoko?
Client VPN uzas revokliston de klientaj atestoj, kiun vi importas en la finpunkton, kiel priskribite en la gvidilo pri la vivociklo de atestoj. Publikigi CRL aliloke en via PKI ne puŝas ĝin en la servon. La importo estas aparta, planita operacio, kaj eksvalidiĝinta listo haltigas konektojn anstataŭ silente malboniĝi. Metu la renovigon en la saman kalendaron kiel la atestojn mem.
Tio faras renovigon monitora ero kun posedanto, ne tasko, kiun vi finas ĉe la lanĉo. Revoku unu testan ateston de komenco ĝis fino antaŭ ol vi vere bezonos la mekanismon.
Kion neniu el la opcioj forigas
Ĉiu opcio ankoraŭ bezonas unun apartan klientan ateston kaj ŝlosilon por ĉiu sendepende administrata aparato. Instruilo, kiu disdonas unu identecon al ĉiuj, estas instruila fuĝo, kaj ĝi ankaŭ malebligas selekvan revokon.
Importitaj servilaj atestoj en ACM ne havas administratan renovigon, do la posedanto devas akiri la anstataŭon, reimporti ĝin kaj poste konfirmi, ke la finpunkto adoptis ĝin. Renovigi la servilan ateston ne renovigas la klientajn akreditaĵojn, kiuj jam kuŝas sur tekkomputiloj. Tiuj estas apartaj vivocikloj kun apartaj kalendaroj.
Kontrolu la ŝlosiltipojn kaj etendaĵojn, kiujn la servo akceptas, antaŭ ol eldoni ion ajn. Tio, ke CA subtenas algoritmon, ne signifas, ke la finpunkto akceptos ĝin.
Antaŭ la lanĉo, trairu unu renovigon kaj unu forigon de kliento per la laborfluo, kiun vi elektis, kaj notu, kiu akreditaĵo ŝanĝiĝis, kiu finpunkta agordo ŝanĝiĝis, kaj kio okazis al la aktiva sesio. Se tiu ekzerco finiĝas sen klara posedanto, la elekto de eldonanto ne estas finita.