AWS Client VPN: zein CAk eman behar ditu bezero-ziurtagiriak?
Dagoen CA batek, norberaren emaileak eta AWS Private CAk lanak beste modu batera banatzen dituzte. Erabaki nori dagokion bezero-ziurtagiriak onartzea, berritzea eta baliogabetzea abiarazi aurretik.
AWS Client VPN-eko ziurtagirien galdera produktu-galdera gisa egiten da, baina benetan eragiketa-galdera da. Hiru konfigurazio ohikoenetako edozeinek tunel funtzionala eutsiko du: dagoen erakunde-CA bat, norberaren emaile dedikatu bat edo AWS Private CA. Hauek desberdintzen dira gailua nork onartzen duen, sinadura-giltza nork gordetzen duen eta ordenagailu eramangarria ordu desegokian desagertzen denean nork erantzuten duen. Aukeratu jabea izenda dezakezun aukera.
AWSek ez du Private CA behar ziurtagirien bidezko autentifikaziorako. Server-ziurtagiria ACMn jartzea hedapen-urratsa da, ez erregistro-prozesua.
Erabakia hartzen duten hiru baldintzak
Hiru baldintzek garbi bereizten dituzte aukerak: gailuen erregistro-prozesu onartua badagoen, sinadura-giltza babeskopiekin eta izendatutako jabearekin kudeatu dezakezun, eta baliogabetzeak nola iristen den amaierako puntura. Bakoitza bai edo ez-etik gertu dago, eta lehen ez-ak arkitektura erabakitzen du normalean.
Landu itzazu ordenan. Kostuen alderaketara zuzenean jauzi egitea da taldeek CA kudeatu batekin eta hurrengo ordenagailu-ziurtagiria nork ematen duen jakin gabe amaitzeko modua.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Lehen baldintza: erregistroa badago jada?
Zure erakundeak jada gailuen erregistro-bide onartua duen CA bat kudeatzen badu, hortik Client VPN bezero-ziurtagiriak ematea da biderik laburrena. Onarpenak, prozesua eta aktiboen erregistroak jada han daude. Hierarkia horren pean dagoen emaile mendeko dedikatu bat hobea izaten da helburu orokorreko CA emailea baino, VPNari bere konfiantza-muga eta bere baliogabetze-zerrenda ematen dizkiolako. Mantendu zerrenda hori hierarkiaren gainerakotik bereizita, VPN gorabehera batek PKI osoan aldaketa behar ez dezan.
Halako prozesurik ez badago, benetako galdera da bat eraiki nahi duzun. CA bat hastea erraza da eta gaizki edukitzea garestia.
Bigarren baldintza: sinadura-giltza kudea dezakezu?
Norberaren emaileak inportazio-eredu dokumentatuarekin funtzionatzen du, eta EasyRSA edo barne-tresna txiki batek materia sor dezake. Komandoa exekutatzea ez da zati zaila. Zati zaila sinadura-giltzaren lineaz kanpoko babeskopiak, norbaitek benetan probatu duen berreskuratze-bidea, oporretan ez dagoen jabe bat eta giltza inoiz bezero-pakete edo konfigurazio-esportazio batera iristen ez dela dioen araua dira. Idatzi hori prozedura gisa lehen ziurtagiria eman aurretik, ez lehen gorabeheraren ondoren.
AWS Private CAk zaintza hori zerbitzu kudeatura eramaten du. Ez du eramaten erregistro-politika, onarpen-urratsa edo ziurtagiria gailura entregatzea.
Hirugarren baldintza: nola iristen da baliogabetzea?
Client VPNek amaierako puntuan inportatzen duzun bezero-ziurtagirien baliogabetze-zerrenda erabiltzen du, ziurtagirien bizi-zikloaren gidan deskribatzen den bezala. Zure PKIn beste leku batean CRL bat argitaratzeak ez du zerbitzura bultzatzen. Inportazioa eragiketa bereizi eta programatua da, eta iraungitako zerrenda batek konexioak gelditzen ditu isilki okertu beharrean. Jarri berritzea ziurtagirien beren egutegi berean.
Horrek berritzea jabea duen monitorizazio-elementu bihurtzen du, ez abiaraztean amaitzen den zeregin. Baliogabetu probako ziurtagiri bat hasieratik amaierara mekanismoa benetan behar izan aurretik.
Aukerek kentzen ez dutena
Aukera orok oraindik bezero-ziurtagiri eta giltza bereizi bana behar ditu modu independentean kudeatutako gailu bakoitzeko. Denoi identitate bakarra banatzen dien tutoriala tutorial-laburpena da, eta baliogabetze selektiboa ere ezinezkoa egiten du.
ACMn inportatutako server-ziurtagiriek ez dute berritze kudeaturik, beraz jabeak ordezkoa lortu, berriro inportatu eta amaierako puntuak onartu duela baieztatu behar du. Server-ziurtagiria berritzeak ez ditu berritzen ordenagailuetan jada dauden bezero-kredentzialak. Bizi-ziklo bereiziak dira, egutegi bereiziekin.
Egiaztatu zerbitzuak onartzen dituen giltza-motak eta luzapenak ezer eman aurretik. CA batek algoritmo bat onartzeak ez du esan nahi amaierako puntuak onartuko duenik.
Abiarazi aurretik, pasa berritze bat eta bezero bat kentze bat aukeratu duzun lan-fluxutik, eta idatzi zein kredentzial aldatu zen, zein amaierako puntuko ezarpen aldatu zen eta zer gertatu zitzaion sesio aktiboari. Ariketa hori jabe argirik gabe amaitzen bada, emailearen hautaketa ez dago amaituta.