AWS Client VPN: hokker CA moat kliïntsertifikaten útjaan?
In besteande CA, in sels betsjinne útjouwer en AWS Private CA ferdiele it wurk oars. Beslis wa’t kliïntsertifikaten goedkart, fernijt en yntrekt foar’t jo begjinne.
De sertifikaatfraach by AWS Client VPN wurdt as produksfraach steld, en it is eins in operasjonele fraach. Elk fan de trije gewoane opsetten hâldt in wurkjende tunnel oan: in besteande organisaasje-CA, in aparte sels betsjinne útjouwer of AWS Private CA. Se ferskille yn wa’t in apparaat goedkart, wa’t de ûndertekeningskaai hâldt, en wa’t antwurdet as in laptop op in ûngeunstich oere ferdwynt. Kies de opsje waans eigner jo beneame kinne.
AWS freget gjin Private CA foar sertifikaatferifikaasje. In serversertifikaat yn ACM pleatse is in útrôlstap, gjin registraasjeproses.
De trije betingsten dy’t it beslisse
Trije betingsten skiede de opsjes skjin: oft der al in goedkarde apparaatregistraasje bestiet, oft jo in ûndertekeningskaai mei backups en in beneamde eigner betsjinje kinne, en hoe’t in yntrekken it einpunt berikt. Elk is ticht by in ja of in nee, en it earste nee beslút meastentiids de arsjitektuer.
Wurkje se yn folchoarder troch. Fuortendaliks nei in kostenfergeliking springe is hoe’t teams mei in beheard CA oerbliuwe en nimmen dy’t wit wa’t it folgjende laptopsertifikaat útjout.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Betingst ien: bestiet registraasje al?
As jo organisaasje al in CA betsjinnet mei in goedkard paad foar apparaatregistraasje, is it útjaan fan Client VPN-kliïntsertifikaten dêrwei de koartste rûte. De goedkarringen, it proses en de aktiva-registers binne der al. In aparte ûndergeskikte útjouwer ûnder dy hiërargy is meastentiids better as de algemiene útjaande CA, om’t er de VPN syn eigen fertrouwensgrins en syn eigen yntreklijst jout. Hâld dy list apart fan de rest fan de hiërargy, sadat in VPN-ynsidint gjin feroaring oer de hiele PKI twingt.
Bestiet sa’n proses net, dan is de echte fraach oft jo der ien bouwe wolle. In CA is maklik te begjinnen en djoer om ferkeard te besitten.
Betingst twa: kinne jo in ûndertekeningskaai betsjinje?
In sels betsjinne útjouwer wurket mei it dokumintearre ymportmodel, en EasyRSA of in lyts yntern helpmiddel kin it materiaal meitsje. It kommando útfiere is net it dreechste part. It dreechste part binne offline backups fan de ûndertekeningskaai, in werstelpaad dat immen echt test hat, in eigner dy’t net op fakânsje is, en in regel dat de kaai nea yn in kliïntbondel of in konfiguraasje-eksport belânet. Skriuw dat as proseduere op foar’t it earste sertifikaat útjûn wurdt, net nei it earste ynsidint.
AWS Private CA ferpleatst dat behear nei in behearde tsjinst. It ferpleatst net it registraasjebelied, de goedkarringstap of de levering fan it sertifikaat oan it apparaat.
Betingst trije: hoe komt yntrekken oan?
Client VPN brûkt in yntreklijst foar kliïntsertifikaten dy’t jo yn it einpunt ymportearje, sa’t beskreaun is yn de hantlieding oer de libbenssyklus fan sertifikaten. In CRL earne oars yn jo PKI publisearje stjoert dy net yn de tsjinst. De ymport is in aparte, plande operaasje, en in ferrûne list stopet ferbiningen ynstee fan stil te ferswakjen. Set de fernijing op deselde kalinder as de sertifikaten sels.
Dat makket fernijing in monitoringitem mei in eigner, gjin taak dy’t jo by de lansearring ôfmeitsje. Lûk ien testsertifikaat fan begjin oant ein yn foar’t jo it meganisme echt nedich hawwe.
Wat gjin fan de opsjes fuorthellet
Elke opsje freget noch altyd ien apart kliïntsertifikaat en -kaai per ûnôfhinklik beheard apparaat. In hantlieding dy’t ien identiteit oan elkenien útdielt is in hantliedingsfuotpaad, en it makket selektive yntrekken ek ûnmooglik.
Ymportearre serversertifikaten yn ACM hawwe gjin behearde fernijing, dus de eigner moat de ferfanging krije, dy opnij ymportearje en dan befêstigje dat it einpunt dy oannaam hat. It serversertifikaat fernije fernijt de kliïntbewizen net dy’t al op laptops steane. Dat binne aparte libbenssyklussen mei aparte kalinders.
Kontrolearje de kaaitypen en útwreidings dy’t de tsjinst akseptearret foar’t jo wat útjaan. Dat in CA in algoritme stipet, betsjut net dat it einpunt it akseptearret.
Ear’t jo lansearje, rin ien fernijing en ien kliïntferwidering troch de wurkstream dy’t jo keazen hawwe, en skriuw op hokker bewiis feroare, hokker einpuntynstelling feroare en wat der mei de aktive sesje barde. As dy oefening sûnder dúdlike eigner einiget, is de kar fan útjouwer net klear.