Delegi la eldonon de VPN-atestiloj sen la radika ŝlosilo

Doni al iu la kapablon registri VPN-klientojn kaj doni al li porteblan kopion de la radika ŝlosilo estas du malsamaj agoj, kaj la diferenco videblas nur kiam tiu persono foriras aŭ tiu ŝlosilo likas. La unua donas operacion ene de laborfluo, kiun vi kontrolas; la dua donas la kapablon krei fidon ie ajn, senrete, senfine. Decidu, kiun la tasko bezonas, antaŭ ol tuŝi ajnan ŝlosilan materialon. Hierarkia diagramo ne respondos tiun demandon por vi.

Skribu la registran taskon kiel tri demandojn: kiu rajtas peti, kiu aprobas, kaj kion la eldona komponanto rajtas subskribi.

Decidu, kiun kapablon vi donas

Eldona servo povas prezenti aproban laborfluon dum ĝi tenas la subskriban materialon ĉe aparta posedanto. Operatoro aprobas peton de aparato, la servo aplikas politikon kaj registras la eldonon, kaj neniu el la implikitaj posedas la CA-ŝlosilon. Dokumentu la permesitajn identecojn, la aprobantojn kaj la amplekson de tio, kion la servo rajtas subskribi; poste protektu ĝian administradon same zorgeme kiel la ŝlosilon. Atestila subskribpeto estas peto, ne decido pri rajtigo.

Hardvar-apogita konservado ŝanĝas la riskon kopii la ŝlosilon, ne la bezonon de rajtigo. Ne-eksportebla signifas, ke la ŝlosilo ne povas esti eltirita, kaj ĝi ne signifas, ke ĉiu, kiu povas alvoki la subskriban interfacon, rajtas ricevi atestilon. Taksi tiujn du ecojn aparte.

Meza atestilo limigas la aŭtoritaton

Radiko povas atestigi mezan atestilon por ĉiutaga eldonado, tiel ke rutina laboro ne plu tuŝas la radikan ŝlosilon, kondiĉe ke la propraj subskribaj kaj restarigaj proceduroj de la radiko restas protektitaj. Tio estas vera limo kaj ĝi ne estas senpaga: alia atestilo, alia ŝlosilo, alia renovigo kaj alia malpermeslisto por konservi. Uzu unu, kiam ĝi reprezentas intencan administran aŭ riskan limon. Krei eldonanton por ĉiu administranto produktas pli da ĉio kaj aĉetas nenion, kion la laborfluo jam ne provizis.

Kontrolu, ke la VPN-kontroliloj konstruas la ĉenon tiel, kiel vi atendas. Sendi mezan atestilon por ĉena konstruado kaj instali ĝin kiel rekte fidatan ankron estas malsamaj aranĝoj.

pathLen nulo ne signifas tion, kion vi pensas

RFC 5280 sekcio 4.2.1.9 difinas la bazajn limigojn, kaj ĝia vojo-longa kampo limigas kiom da mem-eldonitaj meza atestiloj povas sekvi en valida vojo. Valoro nulo limigas pluan mezan profundecon; ĝi ne limigas la nombron de finaj entoj atestiloj. Homoj legas ĝin kiel nulo permesitaj atestiloj kaj poste demandas sin, kial eldonado ankoraŭ funkcias. Legu la kampon kiel profundan limon por CA-oj, kaj la konduto fariĝas antaŭvidebla.

La sama sekcio implicas, ke fida ankro estas enigo al voja validigo, ne ordinara atestilo ene de la vojo. Tial publikigi malpermesan rikordon por memsubskribita radiko ne fidinde forigas ĝin el ĉiu konservejo.

Foriro ne estas ŝlosila kompromito

Kiam la foriranto tenis nur personan administran konton, revoku tiun aliron kaj ĝiajn sesiojn per la subtenata identeca procezo, poste revizuu la agadon kaj aprobojn, kiujn ĝi produktis. Antaŭe eldonitaj klientaj atestiloj ne fariĝas malvalidaj ĉar ilia aprobanto foriris, kaj trakti ilin kiel kompromititajn kreas grandan, senbezona re-registradon. Malŝalti konton ankaŭ ne povas malvalidigi kopiitan subskriban ŝlosilon, do la respondo dependas de tio, kiu kapablo estis tenata.

Kiam meza atestilo estas kompromitita, ĝia rajtigo devas esti retirita kaj ĉiu identeco, por kiu ĝi garantiis, anstataŭigita, laŭ kiu ajn politiko la kontrolilo plenumas. Radika fido bezonas sian propran respondon, ĉar la ankro vivas en fidaj konservejoj, kiujn vi eble ne kontrolas.

Akceptu la dezajnon kun kvar konkretaj kazoj: taŭga aparato registriĝas, neaprobita peto estas rifuzata, forigita operatoro ne plu povas eldoni, kaj emerita eldonanto ne plu donas aliron. Tiuj kvar rezultoj estas la runbook.