AWS Client VPN: клиент сертификаттарын қай CA беруі керек?
Қолданыстағы CA, өздігінен басқарылатын беруші және AWS Private CA жұмысты әртүрлі бөледі. Іске қоспас бұрын клиент сертификаттарын кім бекітетінін, жаңартатынын және кері қайтаратынын шешіңіз.
AWS Client VPN-тегі сертификат мәселесі өнім мәселесі ретінде қойылады, бірақ шын мәнінде бұл операциялық мәселе. Әдеттегі үш конфигурацияның кез келгені жұмыс істеп тұрған туннельді сақтайды: қолданыстағы ұйымдық CA, арнайы өздігінен басқарылатын беруші немесе AWS Private CA. Олар құрылғыны кім бекітетінімен, қол қою кілтін кім ұстайтынымен және ыңғайсыз сағатта ноутбук жоғалып кеткенде кім жауап беретінімен ерекшеленеді. Иесін атай алатын нұсқаны таңдаңыз.
AWS сертификат арқылы аутентификация үшін Private CA талап етпейді. Сервер сертификатын ACM-ге орналастыру — орналастыру қадамы, тіркеу процесі емес.
Шешім қабылдайтын үш шарт
Үш шарт нұсқаларды анық бөледі: бекітілген құрылғыны тіркеу процесі бұрыннан бар ма, сақтық көшірмелер мен аталған иесі бар қол қою кілтін басқара аласыз ба, және кері қайтару соңғы нүктеге қалай жетеді. Әрқайсысы «иә» немесе «жоқ»-қа жақын, ал бірінші «жоқ» әдетте архитектураны шешеді.
Оларды ретімен қараңыз. Тікелей шығынды салыстыруға көшу — командалардың басқарылатын CA-мен қалып, келесі ноутбук сертификатын кім беретінін ешкім білмейтін жағдайға әкеледі.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Бірінші шарт: тіркеу бұрыннан бар ма?
Егер ұйымыңыз бұрыннан бекітілген құрылғыны тіркеу жолы бар CA-ны басқарса, одан Client VPN клиент сертификаттарын беру ең қысқа жол. Бекітулер, процесс және активтер жазбалары онда бұрыннан бар. Сол иерархия астындағы арнайы төменгі беруші жалпы мақсаттағы беруші CA-дан әдетте жақсырақ, өйткені ол VPN-ге өз сенім шекарасын және өз кері қайтару тізімін береді. Бұл тізімді иерархияның қалған бөлігінен бөлек ұстаңыз, сонда VPN оқиғасы бүкіл PKI бойынша өзгеріс талап етпейді.
Мұндай процесс болмаса, нақты сұрақ — оны құруды қалайсыз ба. CA-ны бастау оңай, оны нашар ұстау қымбат.
Екінші шарт: қол қою кілтін басқара аласыз ба?
Өздігінен басқарылатын беруші құжатталған импорт үлгісімен жұмыс істейді, ал EasyRSA немесе шағын ішкі құрал материалды жасай алады. Әмірді іске қосу қиын бөлік емес. Қиын бөлік — қол қою кілтінің желіден тыс сақтық көшірмелері, біреу шынымен сынаған қалпына келтіру жолы, демалыста емес иесі және кілттің ешқашан клиент бумасына немесе конфигурация экспортына түспеуі туралы ереже. Мұны бірінші сертификат берілмей тұрып процедура ретінде жазыңыз, бірінші оқиғадан кейін емес.
AWS Private CA бұл сақтауды басқарылатын қызметке көшіреді. Ол тіркеу саясатын, бекіту қадамын немесе сертификатты құрылғыға жеткізуді көшірмейді.
Үшінші шарт: кері қайтару қалай келеді?
Client VPN соңғы нүктеге импорттайтын клиент сертификаттарын кері қайтару тізімін пайдаланады, сертификаттың өмірлік циклі жөніндегі нұсқаулықта сипатталғандай. PKI-де басқа жерде CRL жариялау оны қызметке итермейді. Импорт — бөлек, жоспарланған операция, ал мерзімі өткен тізім байланыстарды тоқтатады, баяу нашарламайды. Жаңартуды сертификаттардың өз күнтізбесіне қойыңыз.
Бұл жаңартуды иесі бар мониторинг элементіне айналдырады, іске қосу кезінде бітетін тапсырма емес. Механизм шынымен қажет болмай тұрып, бір сынақ сертификатын басынан аяғына дейін кері қайтарыңыз.
Ешбір нұсқа жоймайтын нәрсе
Әр нұсқа әлі де әр дербес басқарылатын құрылғы үшін бөлек клиент сертификаты мен кілтін талап етеді. Барлығына бір сәйкестік тарататын оқулық — оқулықтың қысқа жолы, және ол таңдамалы кері қайтаруды да мүмкін емес етеді.
ACM-ге импортталған сервер сертификаттарында басқарылатын жаңарту жоқ, сондықтан иесі ауыстырғышты алып, оны қайта импорттап, содан кейін соңғы нүкте оны қабылдағанын растауы керек. Сервер сертификатын жаңарту ноутбуктерде бұрыннан тұрған клиент тіркелгі деректерін жаңартпайды. Бұлар — бөлек күнтізбелері бар бөлек өмірлік циклдер.
Бірдеңе бермес бұрын қызмет қабылдайтын кілт түрлері мен кеңейтімдерді тексеріңіз. CA-ның алгоритмді қолдауы соңғы нүктенің оны қабылдайтынын білдірмейді.
Іске қоспас бұрын таңдаған жұмыс ағыныңыз арқылы бір жаңарту мен бір клиентті жоюды өткізіп, қай тіркелгі деректері өзгергенін, қай соңғы нүкте параметрі өзгергенін және белсенді сессияға не болғанын жазып алыңыз. Егер бұл жаттығу нақты иесіз аяқталса, беруші таңдауы аяқталмаған.