Փոխանցել VPN վկայագրերի թողարկումը առանց արմատային բանալու
Վկայագիր թողարկելը թույլտվություն է. արմատային բանալը պահելը՝ կարողություն։ Միջանկյալ վկայագիրը սահմանափակում է առաջինը, իսկ հաշվի հեռացումը ֆոխզիջում չէ։
Ինչ-որ մեկին VPN հաճախորդներ գրանցելու կարողություն տալը և նրան արմատային բանալու տեղափոխելի պատճենը տալը տարբեր արարքներ են, և տարբերությունը տեսանելի է դառնում միայն այն ժամանակ, երբ այդ մարդը հեռանում է կամ այդ բանալը արտահոսում է։ Առաջինը տալիս է գործողություն ձեր վերահսկվող աշխատանքային հոսքի ներսում. երկրորդը տալիս է ցանկացած վայրում, առանց ցանցի, անժամկետ վստահություն ստեղծելու կարողություն։ Որոշեք, թե որն է պետք աշխատանքին, նախքան որևէ բանալու նյութին դիպչելու։ Հիերարխիայի դիագրամը այդ հարցին ձեր փոխարեն չի պատասխանի։
Գրանցման աշխատանքը գրեք որպես երեք հարց. ով կարող է հայտ ներկայացնել, ով է հաստատում, և ինչ կարող է ստորագրել թողարկող բաղադրիչը։
Որոշեք, թե ինչ կարողություն եք տալիս
Թողարկող ծառայությունը կարող է ներկայացնել հաստատման աշխատանքային հոսք և միաժանցում ստորագրման նյութը պահել առանձին սեփականատիրոջ մոտ։ Օպերատորը հաստատում է սարքի հայտը, ծառայությունը կիրառում է քաղաքականությունը և գրանցում թողարկումը, և ներգրավվածներից ոչ ոք չի պահում CA բանալը։ Փաստաթղթավորեք թույլատրված ինքնությունները, հաստատողներին և այն շրջանկը, ինչ կարող է ստորագրել ծառայությունը. ապա պաշտպանեք դրա կառավարումը նույնք ուշադիր, ինչքան բանալը։ Վկայագրի ստորագրման հայտը հայտ է, ոչ թույլտվության որոշում։
Սարքային հողով ապահովված պահոցը փոխում է բանալի պատճենման ռիսկը, ոչ լիազորման անհրաժեշտությունը։ Չարտահանությունը նշանակում է, որ բանալը հնարավոր չէ հանել, և չի նշանակում, որ ստորագրման ինտերֆեյսը կանչող որևէ ունի իրավունք վկայագրի։ Գնահատեք այդ երկու հատկությունները առանձին։
Միջանկյալ վկայագիրը սահմանափակում է լիազորությունը
Արմատը կարող է վկայել միջանկյալ վկայագիր ամենօրյա թողարկման համար, այնպես որ սովորական աշխատանքը այլևս չի դիպչում արմատային բանալին, քանի դեռ արմատի սեփական ստորագրման և վերականգնման ընթացքը պաշտպանված մնան։ Սա իրական սահման է և անվճար չէ. ևս մեկ վկայագիր, ևս մեկ բանալ, ևս մեկ թարմացում և պահպանման համար ևս մեկ չեղարկման ցուցակ։ Օգտագործեք այն, երբ այն ներկայացնում է դիտավորված կառավարման կամ ռիսկի սահման։ Յուրաքանչյուր ադմինիստրատորի համար թողարկող ստեղծելը ամեն ինչից շատ է արտադրում և ոչինչ չի գնում, ինչ աշխատանքային հոսքն արդեն ինքը չէր տրամադրել։
Ստուգեք, որ VPN ստուգողները շղթան կառուցում են այնպես, ինչպես դուք սպասում եք։ Միջանկյալ վկայագիրը շղթայի կառուցման համար ուղարկելը և այն ուղղիշտ վստահելի ծանկային տեղադրելը տարբեր դասավորություններ են։
pathLen զրոն չի նշանակում այն, ինչ դուք մտածում եք
RFC 5280 4.2.1.9 բաժինը սահմանում է հիմնական սահմանափակումները, և նրա ուղու երկարության դաշտը սահմանափակում է, թե քանի ոչ ինքնաթողարկված միջանկյալ վկայագիր կարող է հետևել վավեր ուղում։ Զրո արժեքը սահմանափակում է հետագա միջանկյալ խորությունը. այն չի սահմանափակում վերջնական սուբյեկտի վկայագրերի քանակը։ Մարդիկ դա կարդում են որպես զրո թույլատրված վկայագրեր և հետո զարմանում, թե ինչու թողարկումը դեռ աշխատում է։ Դաշտը կարդացեք որպես CA-ների խորության սահման, և վարքը դառնում է կանխատեսելի։
Նույն բաժինը ակնարկում է, որ վստահության խարիսխը ուղու վավերացման մուտք է, այլ ոչ ուղու ներսում սովորական վկայագիր։ Այդ պատճառով ինքնաստորագրված արմատի համար չեղարկման գրառումը հրապարակելը հուսալիորեն չի հեռացնում այն բոլոր պահոցներից։
Աշխատանքից հեռանալը բանալի ֆոխզիջում չէ
Երբ հեռացողը ուներ միայն անձնական կառավարման հաշիվ, չեղարկեք այդ մուտքը և նրա նստումները համաձայն ինքնության գործընթացով, ապա վերանայեք նրա ստեղծած գործունեությունը և հաստատումները։ Նախկինում թողարկված հաճախորդի վկայագրերը անվավեր չեն դառնում նրանց հաստատողի հեռանալու պատճառով, և դրանք որպես ֆոխզիջված համարելը ստեղծում է մեծ, ավելորդ վերագրանցում։ Հաշվի անջատումը նույնպես չի կարող անվավեր դարձնել պատճենված ստորագրման բանալը, ուստի պատասխանը կախված է այն բանից, թե ինչ կարողություն էր պահվում։
Երբ միջանկյալ վկայագիրը ֆոխզիջվում է, նրա լիազորումը պետք է հետ կանչվի, և յուրաքանչյուր ինքնություն, որի համար երաշխավորել է, փոխարինվի ձևևական քաղաքականությանը, որը կիրառում է ստուգողը։ Արմատի վստահությունը սեփական պատասխան է պահանջում, որովهետև խարիսխը ապրում է վստահության պահոցներում, որոնք գուցե դուք չեք վերահսկվում։
Ընդունեք ձևևավորումը չորս կոնկրետ դեպքով. համապատասխան սարքը գրանցվում է, չհաստատված հայտը մերժվում է, հեռացված օպերատորը այլևս չի կարող թողարկել, և թոշակի հանված թողարկողը այլևս մուտք չի տրամադրում։ Այդ չորս արդյունքներն են runbook-ը։