AWS Client VPN: milline CA peaks välja andma kliendisertifikaate?
Olemasolev CA, ise hallatav väljaandja ja AWS Private CA jagavad tööd erinevalt. Otsustage, kes kinnitab, uuendab ja tühistab kliendisertifikaate, enne kui alustate.
AWS Client VPN-i sertifikaadiküsimust esitatakse tooteküsimusena, kuigi tegelikult on see operatsiooniküsimus. Ükskõik milline kolmest tavalisest seadistusest hoiab töötava tunneli töös: olemasolev organisatsiooni CA, spetsiaalne ise hallatav väljaandja või AWS Private CA. Need erinevad selle poolest, kes seadme kinnitab, kelle käes on allkirjastamisvõti ja kes vastab, kui sülearvuti kaob ebamugaval tunnil. Valige valik, mille omanikku suudate nimetada.
AWS ei nõua sertifikaatidega autentimiseks Private CA-d. Serverisertifikaadi paigutamine ACM-i on juurutamise samm, mitte registreerimisprotsess.
Kolm tingimust, mis selle otsustavad
Kolm tingimust eristavad valikuid selgelt: kas kinnitatud seadmete registreerimisprotsess on juba olemas, kas suudate allkirjastamisvõtit käitada varukoopiate ja nimetatud omanikuga, ja kuidas tühistamine lõpp-punktini jõuab. Igaüks on lähedal jahile või eile, ja esimene ei otsustab tavaliselt arhitektuuri.
Töötage need järjest läbi. Otse kulude võrdlemise juurde hüppamine viib selleni, et meeskonnal on hallatav CA ja keegi ei tea, kes järgmise sülearvuti sertifikaadi välja annab.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Esimene tingimus: kas registreerimine on juba olemas?
Kui teie organisatsioon juba haldab CA-d, millel on kinnitatud seadmete registreerimise tee, on Client VPN-i kliendisertifikaatide väljaandmine sealt kõige lühem tee. Kinnitused, protsess ja vararegistrid on juba olemas. Selle hierarhia all olev spetsiaalne alluv väljaandja on tavaliselt parem kui üldotstarbeline väljaandev CA, sest annab VPN-ile oma usalduspiiri ja oma tühistamisnimekirja. Hoidke seda nimekirja hierarhia ülejäänud osast eraldi, et VPN-i juhtum ei sunniks kogu PKI-s muudatusi tegema.
Kui sellist protsessi ei ole, on tegelik küsimus, kas soovite selle üles ehitada. CA-d on lihtne alustada ja kallis halvasti omada.
Teine tingimus: kas suudate allkirjastamisvõtit käitada?
Ise hallatav väljaandja töötab dokumenteeritud impordimudeliga ning EasyRSA või väike sisemine tööriist suudab materjali luua. Käsu käivitamine ei ole raske osa. Raske osa on allkirjastamisvõtme võrguühenduseta varukoopiad, taastamistee, mida keegi on tõesti testinud, omanik, kes ei ole puhkusel, ja reegel, et võti ei jõua kunagi kliendipaketti ega konfiguratsiooni eksporti. Kirjutage see protseduurina üles enne esimese sertifikaadi väljaandmist, mitte pärast esimest juhtumit.
AWS Private CA viib selle hoiu hallatavasse teenusesse. See ei vii sinna registreerimispoliitikat, kinnitamise sammu ega sertifikaadi kohaletoimetamist seadmele.
Kolmas tingimus: kuidas tühistamine kohale jõuab?
Client VPN kasutab kliendisertifikaatide tühistamisnimekirja, mille impordite lõpp-punkti, nagu on kirjeldatud sertifikaadi elutsükli juhendis. CRL-i avaldamine mujal teie PKI-s ei lükka seda teenusesse. Import on eraldi, ajastatud toiming, ja aegunud nimekiri peatab ühendused, selle asemel et vaikselt halveneda. Pange uuendamine samasse kalendrisse sertifikaatide endiga.
See teeb uuendamisest omanikuga jälgimisüksuse, mitte käivitamisel lõpetatava ülesande. Tühistage üks testsertifikaat algusest lõpuni enne, kui mehhanismi tõesti vajate.
Mida ükski valik ei kõrvalda
Iga valik vajab endiselt üht eraldi kliendisertifikaati ja võtit iga iseseisvalt hallatava seadme kohta. Õpetus, mis jagab kõigile ühe identiteedi, on õpetuse otsetee ja muudab ka valikulise tühistamise võimatuks.
ACM-i imporditud serverisertifikaatidel puudub hallatav uuendamine, seega peab omanik hankima asenduse, selle uuesti importima ja seejärel kinnitama, et lõpp-punkt selle vastu võttis. Serverisertifikaadi uuendamine ei uuenda kliendi volitusi, mis on juba sülearvutites. Need on eraldi elutsüklid eraldi kalendritega.
Kontrollige võtmetüüpe ja laiendusi, mida teenus aktsepteerib, enne kui midagi välja annate. See, et CA toetab algoritmi, ei tähenda, et lõpp-punkt selle vastu võtab.
Enne käivitamist läbige valitud töövoos üks uuendamine ja üks kliendi eemaldamine ning kirjutage üles, milline volitus muutus, milline lõpp-punkti seade muutus ja mis juhtus aktiivse sessiooniga. Kui see harjutus lõpeb ilma selge omanikuta, ei ole väljaandja valik lõpetatud.