AWS Client VPN: ક્લાઇન્ટ પ્રમાણપત્રો કયા CAએ જારી કરવા જોઈએ?
હાલનું CA, સ્વ-સંચાલિત ઇશ્યુઅર અને AWS Private CA કામને જુદી રીતે વિભાજિત કરે છે. શરૂ કરતા પહેલાં નક્કી કરો કે ક્લાઇન્ટ પ્રમાણપત્રોને કોણ મંજૂર કરે, નવીકરણ કરે અને રદ કરે.
AWS Client VPN પર પ્રમાણપત્રનો પ્રશ્ન ઉત્પાદનના પ્રશ્ન તરીકે પૂછવામાં આવે છે, જ્યારે તે ખરેખર કામગીરીનો પ્રશ્ન છે. સામાન્ય ત્રણ સેટઅપમાંથી કોઈપણ એક કાર્યરત ટનલ ચાલુ રાખશે: હાલનું સંસ્થાકીય CA, સમર્પિત સ્વ-સંચાલિત ઇશ્યુઅર, અથવા AWS Private CA. તેઓ એમાં ભિન્ન છે કે કોણ ઉપકરણ મંજૂર કરે છે, કોની પાસે સહી કી રહે છે, અને અયોગ્ય સમયે લેપટોપ ખોવાઈ જાય ત્યારે કોણ જવાબ આપે છે. એ વિકલ્પ પસંદ કરો જેનો માલિક તમે નામ આપી શકો.
AWS પ્રમાણપત્ર આધારિત પ્રમાણીકરણ માટે Private CA ની જરૂર રાખતું નથી. ACM માં સર્વર પ્રમાણપત્ર મૂકવું એ ડિપ્લોયમેન્ટ પગલું છે, નોંધણી પ્રક્રિયા નથી.
ત્રણ શરતો જે તેને નક્કી કરે છે
ત્રણ શરતો વિકલ્પોને સ્પષ્ટપણે અલગ પાડે છે: મંજૂર ઉપકરણ-નોંધણી પ્રક્રિયા પહેલેથી છે કે નહીં, બેકઅપ અને નામાંકિત માલિક સાથે સહી કી ચલાવી શકો છો કે નહીં, અને રદ કરવાની કાર્યવાહી એન્ડપોઇન્ટ સુધી કેવી રીતે પહોંચે છે. દરેક હા કે ના ની નજીક છે, અને પ્રથમ ના સામાન્ય રીતે આર્કિટેક્ચર નક્કી કરે છે.
તેમને ક્રમમાં કરો. સીધા ખર્ચની તુલનામાં કૂદકો મારવો એ જ રીતે ટીમો સંચાલિત CA સાથે રહી જાય છે અને કોઈ જાણતું નથી કે આગળનું લેપટોપ પ્રમાણપત્ર કોણ જારી કરશે.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
પ્રથમ શરત: નોંધણી પહેલેથી છે?
જો તમારી સંસ્થા પહેલેથી મંજૂર ઉપકરણ-નોંધણી માર્ગ સાથે CA ચલાવે છે, તો ત્યાંથી Client VPN ક્લાઇન્ટ પ્રમાણપત્રો જારી કરવા એ સૌથી ટૂંકો માર્ગ છે. મંજૂરીઓ, પ્રક્રિયા અને એસેટ રેકોર્ડ પહેલેથી ત્યાં છે. એ શ્રેણી હેઠળનું સમર્પિત ગૌણ ઇશ્યુઅર સામાન્ય હેતુના ઇશ્યુઇંગ CA કરતાં સામાન્ય રીતે સારું છે, કારણ કે તે VPN ને પોતાની ભરોસા-સીમા અને પોતાની રદ કરવાની યાદી આપે છે. એ યાદીને શ્રેણીના બાકીના ભાગથી અલગ રાખો જેથી VPN ઘટના આખા PKI માં ફેરફાર ફરજિયાત ન કરે.
એવી પ્રક્રિયા ન હોય તો ખરો પ્રશ્ન એ છે કે તમે એક બનાવવા માંગો છો કે નહીં. CA શરૂ કરવું સહેલું છે અને ખરાબ રીતે ધરાવવું ખર્ચાળ છે.
બીજી શરત: તમે સહી કી ચલાવી શકો છો?
સ્વ-સંચાલિત ઇશ્યુઅર દસ્તાવેજીકૃત આયાત મોડલ સાથે કામ કરે છે, અને EasyRSA અથવા નાનું આંતરિક સાધન સામગ્રી બનાવી શકે છે. આદેશ ચલાવવો એ મુશ્કેલ ભાગ નથી. મુશ્કેલ ભાગ છે સહી કીના ઓફલાઇન બેકઅપ, કોઈએ ખરેખર પરીક્ષણ કરેલો પુનઃપ્રાપ્તિ માર્ગ, રજા પર ન હોય એવો માલિક, અને એ નિયમ કે કી ક્યારેય ક્લાઇન્ટ બંડલ કે રૂપરેખાંકન નિકાસમાં ન પહોંચે. પહેલું પ્રમાણપત્ર જારી થાય તે પહેલાં તેને પ્રક્રિયા તરીકે લખો, પહેલી ઘટના પછી નહીં.
AWS Private CA એ સંભાળને સંચાલિત સેવામાં ખસેડે છે. તે નોંધણી નીતિ, મંજૂરીનું પગલું કે ઉપકરણ સુધી પ્રમાણપત્રની ડિલિવરી ખસેડતું નથી.
ત્રીજી શરત: રદ કરવાની કાર્યવાહી કેવી રીતે આવે છે?
Client VPN ક્લાઇન્ટ-પ્રમાણપત્ર રદ કરવાની યાદી વાપરે છે જે તમે એન્ડપોઇન્ટમાં આયાત કરો છો, પ્રમાણપત્ર જીવનચક્ર માર્ગદર્શિકામાં વર્ણવ્યા પ્રમાણે. તમારા PKI માં બીજે CRL પ્રકાશિત કરવાથી તે સેવામાં ધકેલાતું નથી. આયાત એ અલગ, નિર્ધારિત કામગીરી છે, અને સમાપ્ત થયેલી યાદી શાંતિથી ક્ષીણ થવાને બદલે જોડાણો બંધ કરે છે. નવીકરણને પ્રમાણપત્રોના એ જ કેલેન્ડર પર મૂકો.
એનાથી નવીકરણ માલિક સાથેની દેખરેખની વસ્તુ બને છે, લોન્ચ વખતે પૂરી થતું કામ નહીં. તંત્રની ખરેખર જરૂર પડે તે પહેલાં એક પરીક્ષણ પ્રમાણપત્ર શરૂઆતથી અંત સુધી રદ કરો.
કોઈ પણ વિકલ્પ જે દૂર કરતું નથી
દરેક વિકલ્પને હજી પણ દરેક સ્વતંત્ર રીતે સંચાલિત ઉપકરણ માટે એક અલગ ક્લાઇન્ટ પ્રમાણપત્ર અને કીની જરૂર છે. જે ટ્યુટોરિયલ દરેકને એક જ ઓળખ આપે છે તે ટ્યુટોરિયલનો શોર્ટકટ છે, અને તે પસંદગીનું રદ કરવું પણ અશક્ય બનાવે છે.
ACM માં આયાત કરેલા સર્વર પ્રમાણપત્રોમાં સંચાલિત નવીકરણ નથી, તેથી માલિકે બદલી મેળવવી, ફરી આયાત કરવી અને પછી એન્ડપોઇન્ટે તે સ્વીકાર્યું છે તેની પુષ્ટિ કરવી પડે છે. સર્વર પ્રમાણપત્રનું નવીકરણ લેપટોપ પર પહેલેથી રહેલા ક્લાઇન્ટ ઓળખપત્રોનું નવીકરણ કરતું નથી. તે અલગ કેલેન્ડર સાથેના અલગ જીવનચક્ર છે.
કંઈપણ જારી કરતા પહેલાં સેવા કયા કી પ્રકારો અને એક્સ્ટેન્શન સ્વીકારે છે તે તપાસો. CA કોઈ અલ્ગોરિધમને સમર્થન આપે એનો અર્થ એ નથી કે એન્ડપોઇન્ટ તેને સ્વીકારશે.
લોન્ચ પહેલાં તમે પસંદ કરેલા વર્કફ્લો દ્વારા એક નવીકરણ અને એક ક્લાઇન્ટ દૂર કરવાની કાર્યવાહી કરો, અને લખો કે કયું ઓળખપત્ર બદલાયું, કઈ એન્ડપોઇન્ટ સેટિંગ બદલાઈ અને સક્રિય સેશનનું શું થયું. જો એ કસરત સ્પષ્ટ માલિક વિના પૂરી થાય, તો ઇશ્યુઅરની પસંદગી પૂરી થઈ નથી.