Fela útgáfu VPN-vottorða án rótarlykilsins

Að gefa einhverjum möguleikann á að skrá VPN-biðlara og að gefa honum flytjanlegt eintak af rótarlyklinum eru tvær ólíkar athafnir, og munurinn verður aðeins sýnilegur þgar þessi manneskja fer eða þessi lykill lekur. Hið fyrra veitir aðgerð innan vinnuflæðis sem þú stjórnar; hið síðara veitir getuna til að skapa traust hvar sem er, án nettengingar, að eilífu. Ákveddu hvoru vinnan þarf áður en þú snertir hvaða lykilinnihald sem er. Stigveldisrit mun ekki svara þeirri spurningu fyrir þig.

Skrifaðu skráningarvinnuna sem þrjár spurningar: hver má biðja, hver samþykkir og hvað útgefandi einingin má undirrita.

Ákveddu hvaða hæfileika þú veitir

Útgáfuþjónusta getur sýnt samþykkisferli á meðan undirritunarefnið er hjá aðskildum eiganda. Rekstraraðili samþykkir tækjabeðni, þjónustan beitir stefnu og skráir útgáfuna, og enginn af þeim sem koma að málinu heldur CA-lyklinum. Skjalfestu leyfðu auðkennin, samþykkjendurna og umfangið sem þjónustan má undirrita; verndaðu síðan stjórnun hennar jafn vandlega og lykilinn. Beiðni um undirritun vottorðs er beiðni, ekki heimildarákvörðun.

Vélbúnaðarstudd geymsla breytir hættunni á að lykillinn sé afritaður, ekki þörfinni fyrir heimild. Óútflutningshæft þyðir að ekki er hægt að lyfta lyklinum út, og það þyðir ekki að hver sem getur kallað á undirritunarviðmótið eigi rétt á vottorði. Metið þessa tvo eiginleika hvor fyrir sig.

Millivottorð takmarkar heimildina

Rót getur vottað millivottorð fyrir daglega útgáfu, svo venjuleg vinna snertir ekki lengur rótarlykilinn, svo framarlega sem eigin undirritunar- og endurheimtarferli rótarinnar eru áfram vernduð. Ðetta er raunveruleg mörk og þeau eru ekki ókeypis: annað vottorð, annar lykill, endurnýjun og annar afturköllunarlisti til að viðhalda. Notaðu eitt þegar það táknar viljandi stjórnunar- eða áhættumörk. Að búa til útgefanda fyrir hvern stjórnanda framleiðir meira af öllu og kaupir ekkert sem vinnuflæðið bauð ekki þegar.

Athugaðu að VPN-sannprófendur byggi keðjuna eins og þú býst við. Að senda millivottorð fyrir keðjusmíð og setja það upp sem beint treystanlegt akkeri eru ólík fyrirkomulag.

pathLen núll þyðir ekki það sem þú heldur

RFC 5280 kafli 4.2.1.9 skilgreinir grunn takmarkanirnar, og lengdarsvið slóðarinnar takmarkar hversu mörg millivottorð sem ekki eru sjálfútgefín mega fylgja í gildri slóð. Gildið núll takmarkar frekari millidýpt; það takmarkar ekki fjölda endaeiningavottorða. Fólk les það sem núll leyfð vottorð og undrar sig þá á því hvers vegna útgáfan virkar enn. Lestu sviðið sem dýptartakmörkun á CA og hegðunin verður fyrirsjáanleg.

Sami kafli gefur til kynna að traustakkeri sé inntak í slóðarsannprófun frekar en venjulegt vottorð inni í slóðinni. Ðess vegna fjarlægir útgáfa afturköllunarfærslu fyrir sjálfvirkt rót ekki áreiðanlega úr hverri geymslu.

Starfslok eru ekki lyklamálamiðlun

Þar sem sá sem fer hélt engu nema persónulegum stjórnunaraðgangi, afturkallaðu þann aðgang og lotur hans í gegnum studda auðkennisferlið og farðu síðan yfir virknina og samþykkin sem hann skapaði. Áður útgefin biðlaravottorð verða ekki ógild vegna þss að samþykkjandi þeirra fór, og að meðhöndla þeau sem málamiðlun skapar stóra, óþarfa endurskráningu. Að slökkva á reikningi getur heldur ekki ógilt afritaðan undirritunarlykil, svo svarið fer eftir því hvaða hæfileiki var í höndum.

Þegar millivottorð er málamiðlað verður að afturkalla heimild þss og skipta út hverju auðkenni sem það ábyrgðist, eftir þeirri stefnu sem sannprófandinn framfylgir. Rótartraust þarf sitt eigið svar, því akkerið lifir í traustageymslum sem þú stjórnar kannski ekki.

Samþykktu hönnunina með fjórum áþreifanlegum tilvikum: hæft tæki skráir sig, ósamþykkt beiðni er hafnað, rekstraraðili sem var fjarlægður getur ekki lengur gefið út, og útgefandi sem var settur á eftirlaun veitir ekki lengur aðgang. Ðessar fjórar niðurstöður eru runbookið.