AWS Client VPN: CA mana yang harus menerbitkan sertifikat klien?

Pertanyaan sertifikat di AWS Client VPN diajukan sebagai pertanyaan produk, padahal sebenarnya pertanyaan operasional. Salah satu dari tiga penyiapan biasa akan mempertahankan tunnel yang berfungsi: CA organisasi yang sudah ada, penerbit mandiri khusus, atau AWS Private CA. Ketiganya berbeda dalam siapa yang menyetujui perangkat, siapa yang memegang kunci penandatanganan, dan siapa yang menjawab ketika laptop hilang pada jam yang tidak nyaman. Pilih opsi yang pemiliknya dapat Anda sebutkan.

AWS tidak mewajibkan Private CA untuk autentikasi berbasis sertifikat. Menempatkan sertifikat server di ACM adalah langkah penerapan, bukan proses pendaftaran.

Tiga kondisi yang menentukan

Tiga kondisi memisahkan opsi dengan jelas: apakah sudah ada proses pendaftaran perangkat yang disetujui, apakah Anda dapat mengoperasikan kunci penandatanganan dengan cadangan dan pemilik yang ditunjuk, dan bagaimana pencabutan sampai ke endpoint. Masing-masing mendekati ya atau tidak, dan tidak yang pertama biasanya menentukan arsitektur.

Kerjakan berurutan. Melompat langsung ke perbandingan biaya adalah cara tim berakhir dengan CA terkelola dan tidak ada yang tahu siapa yang menerbitkan sertifikat laptop berikutnya.

Kondisi satu: apakah pendaftaran sudah ada?

Jika organisasi Anda sudah menjalankan CA dengan jalur pendaftaran perangkat yang disetujui, menerbitkan sertifikat klien Client VPN darinya adalah rute terpendek. Persetujuan, proses, dan catatan aset sudah ada di sana. Penerbit bawahan khusus di bawah hierarki itu biasanya lebih baik daripada CA penerbit serbaguna, karena memberi VPN batas kepercayaan sendiri dan daftar pencabutan sendiri. Jaga daftar itu terpisah dari sisa hierarki agar insiden VPN tidak memaksa perubahan di seluruh PKI.

Jika proses seperti itu tidak ada, pertanyaan sebenarnya adalah apakah Anda ingin membangunnya. CA mudah dimulai dan mahal jika dimiliki dengan buruk.

Kondisi dua: dapatkah Anda mengoperasikan kunci penandatanganan?

Penerbit mandiri bekerja dengan model impor yang terdokumentasi, dan EasyRSA atau alat internal kecil dapat menghasilkan materinya. Menjalankan perintahnya bukan bagian yang sulit. Bagian yang sulit adalah cadangan offline kunci penandatanganan, jalur pemulihan yang benar-benar diuji seseorang, pemilik yang tidak sedang berlibur, dan aturan bahwa kunci tidak pernah masuk ke bundel klien atau ekspor konfigurasi. Tuliskan itu sebagai prosedur sebelum sertifikat pertama diterbitkan, bukan setelah insiden pertama.

AWS Private CA memindahkan penyimpanan itu ke layanan terkelola. Ia tidak memindahkan kebijakan pendaftaran, langkah persetujuan, atau pengiriman sertifikat ke perangkat.

Kondisi tiga: bagaimana pencabutan tiba?

Client VPN mengonsumsi daftar pencabutan sertifikat klien yang Anda impor ke endpoint, seperti dijelaskan dalam panduan siklus hidup sertifikat. Menerbitkan CRL di tempat lain dalam PKI Anda tidak mendorongnya ke layanan. Impor adalah operasi terpisah yang terjadwal, dan daftar yang kedaluwarsa menghentikan koneksi alih-alih menurun perlahan. Letakkan pembaruan pada kalender yang sama dengan sertifikatnya sendiri.

Itu menjadikan pembaruan sebagai item pemantauan dengan pemilik, bukan tugas yang selesai saat peluncuran. Cabut satu sertifikat uji dari awal hingga akhir sebelum Anda benar-benar membutuhkan mekanismenya.

Apa yang tidak dihilangkan oleh opsi mana pun

Setiap opsi tetap membutuhkan satu sertifikat klien dan kunci yang berbeda untuk setiap perangkat yang dikelola secara independen. Tutorial yang membagikan satu identitas kepada semua orang adalah jalan pintas tutorial, dan itu juga membuat pencabutan selektif mustahil.

Sertifikat server yang diimpor di ACM tidak memiliki pembaruan terkelola, jadi pemilik harus memperoleh penggantinya, mengimpornya ulang, lalu memastikan endpoint mengadopsinya. Memperbarui sertifikat server tidak memperbarui kredensial klien yang sudah ada di laptop. Itu adalah siklus hidup terpisah dengan kalender terpisah.

Periksa jenis kunci dan ekstensi yang diterima layanan sebelum Anda menerbitkan apa pun. CA yang mendukung suatu algoritme tidak berarti endpoint akan menerimanya.

Sebelum peluncuran, jalankan satu pembaruan dan satu penghapusan klien melalui alur kerja yang Anda pilih, dan catat kredensial mana yang berubah, pengaturan endpoint mana yang berubah, dan apa yang terjadi pada sesi aktif. Jika latihan itu berakhir tanpa pemilik yang jelas, pilihan penerbit belum selesai.