AWS Client VPN: hvaða CA á að gefa út biðlaraskírteini?

Skírteinisspurningin á AWS Client VPN er borin fram sem vöruspurning, en er í raun rekstrarspurning. Eitthvað af þremur venjulegu uppsetningunum heldur virkri gönguleið: núverandi skipulagsleg CA, sérstakur sjálfrekin útgefandi eða AWS Private CA. Þau eru ólík að því hver samþykkir tæki, hver geymir undirritunarlykilinn og hver svarar þegar fartölva hverfur á óhentugri stundu. Veldu valkostinn sem þú getur nefnt eiganda að.

AWS krefst ekki Private CA fyrir skírteinamiðaða auðkenningu. Að setja netþjónsskírteini í ACM er dreifingarskref, ekki skráningarferli.

Þrjú skilyrðin sem ráða

Þrjú skilyrði aðskilja valkostina skýrt: hvort samþykkt tækjaskráningarferli sé þegar til, hvort þú getur rekið undirritunarlykil með öryggisafritum og nafngreindum eiganda, og hvernig afturköllun berst endapunktinum. Hvert þeirra er nálægt jái eða nei, og fyrsta neið ræður venjulega arkitektúrnum.

Farðu í gegnum þau í röð. Stökkið beint í kostnaðarsamanburð er leiðin sem teymi enda með stýrða CA og engan sem veit hver gefur út næsta fartölvuskírteini.

Skilyrði eitt: er skráning þegar til?

Ef stofnunin þín rekur nú þegar CA með samþykktri leið fyrir tækjaskráningu er útgáfa biðlaraskírteina Client VPN þaðan stysta leiðin. Samþykkin, ferlið og eignaskrárnar eru þegar þar. Sérstakur undirskipaður útgefandi undir því stigveldi er venjulega betri en almenni útgáfuca CA, því hann gefur VPN sín eigin traustmörk og sinn eigin afturköllunarlista. Haltu þeim lista aðskildum frá restinni af stigveldinu svo VPN-atvik neyði ekki til breytinga á öllu PKI-inu.

Ef ekkert slíkt ferli er til, er raunverulega spurningin hvort þú viljir byggja eitt. CA er auðvelt að byrja og dýrt að eiga illa.

Skilyrði tvö: getur þú rekið undirritunarlykil?

Sjálfrekin útgefandi virkar með skjalfestu innflutningslíkaninu, og EasyRSA eða lítið innra tól getur framleitt efnið. Að keyra skipunina er ekki erfiði hlutinn. Erfiði hlutinn eru ótengd öryggisafrit af undirritunarlyklinum, endurheimtarleið sem einhver hefur raunverulega prófað, eigandi sem er ekki í fríi, og regla um að lykillinn endi aldrei í biðlarapakka eða stillingarútflutningi. Skrifaðu það sem verklagsreglu áður en fyrsta skírteinið er gefið út, ekki eftir fyrsta atvikið.

AWS Private CA færir þá geymslu í stýrða þjónustu. Það færir ekki skráningarstefnuna, samþykkisskrefið né afhendingu skírteinisins til tækisins.

Skilyrði þrjú: hvernig berst afturköllun?

Client VPN notar afturköllunarlista biðlaraskírteina sem þú flytur inn í endapunktinn, eins og lýst er í leiðbeiningunum um lífsferil skírteina. Að birta CRL annars staðar í PKI-inu þínu ýtir því ekki inn í þjónustuna. Innflutningurinn er aðgerð sem er aðskilin og áætluð, og útrunninn listi stöðvar tengingar í stað þess að versna hljóðlega. Settu endurnýjunina á sama dagatal og skírteinin sjálf.

Það gerir endurnýjun að eftirlitsatriði með eiganda, ekki verkefni sem lýkur við ræsingu. Afturkallaðu eitt prófunarskírteini frá upphafi til enda áður en þú þarft á kerfinu að halda í raun.

Það sem enginn valkostur fjarlægir

Hver valkostur þarf samt eitt aðskilið biðlaraskírteini og lykil fyrir hvert sjálfstætt stýrt tæki. Kennsluefni sem úthlutar einni auðkennu til allra er stuttleið kennsluefnis, og gerir einnig sértæka afturköllun ómögulega.

Innflutt netþjónsskírteini í ACM hafa enga stýrða endurnýjun, svo eigandinn verður að útvega staðgengilinn, flytja hann inn aftur og staðfesta svo að endapunkturinn hafi tekið hann upp. Að endurnýja netþjónsskírteinið endurnýjar ekki biðlaraauðkennin sem þegar eru á fartölvum. Þetta eru aðskildir lífsferlar með aðskildum dagatölum.

Athugaðu lykiltegundirnar og viðbæturnar sem þjónustan samþykkir áður en þú gefur eitthvað út. Að CA styðji reiknirit þýðir ekki að endapunkturinn samþykki það.

Fyrir ræsingu skaltu keyra eina endurnýjun og eina fjarlægingu biðlara í gegnum vinnuflæðið sem þú valdir, og skrifa niður hvaða auðkenni breyttist, hvaða endapunktarstilling breyttist og hvað varð um virka setuna. Ef sú æfing endar án skýrs eiganda er val útgefanda ekki lokið.