AWS Client VPN: ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಯಾವ CA ನೀಡಬೇಕು?
ಇರುವ CA, ಸ್ವಯಂ ನಿರ್ವಹಿತ ನೀಡುವವರು ಮತ್ತು AWS Private CA ಕೆಲಸವನ್ನು ಬೇರೆ ರೀತಿಯಲ್ಲಿ ಹಂಚಿಕೊಳ್ಳುತ್ತವೆ. ಪ್ರಾರಂಭಿಸುವ ಮೊದಲು ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಯಾರು ಅನುಮೋದಿಸುತ್ತಾರೆ, ನವೀಕರಿಸುತ್ತಾರೆ ಮತ್ತು ರದ್ದುಗೊಳಿಸುತ್ತಾರೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸಿ.
AWS Client VPN ನಲ್ಲಿ ಪ್ರಮಾಣಪತ್ರದ ಪ್ರಶ್ನೆಯನ್ನು ಉತ್ಪನ್ನದ ಪ್ರಶ್ನೆಯಾಗಿ ಕೇಳಲಾಗುತ್ತದೆ, ಆದರೆ ವಾಸ್ತವವಾಗಿ ಅದು ಕಾರ್ಯಾಚರಣೆಯ ಪ್ರಶ್ನೆ. ಸಾಮಾನ್ಯ ಮೂರು ಸಂರಚನೆಗಳಲ್ಲಿ ಯಾವುದೇ ಒಂದು ಕೆಲಸ ಮಾಡುವ ಸುರಂಗವನ್ನು ಉಳಿಸಿಕೊಳ್ಳುತ್ತದೆ: ಇರುವ ಸಂಸ್ಥೆಯ CA, ಮೀಸಲಾದ ಸ್ವಯಂ ನಿರ್ವಹಿತ ನೀಡುವವರು, ಅಥವಾ AWS Private CA. ಅವು ಸಾಧನವನ್ನು ಯಾರು ಅನುಮೋದಿಸುತ್ತಾರೆ, ಸಹಿ ಕೀ ಯಾರ ಬಳಿ ಇರುತ್ತದೆ, ಮತ್ತು ಅನನುಕೂಲ ಸಮಯದಲ್ಲಿ ಲ್ಯಾಪ್‌ಟಾಪ್ ಕಾಣೆಯಾದಾಗ ಯಾರು ಉತ್ತರಿಸುತ್ತಾರೆ ಎಂಬುದರಲ್ಲಿ ಭಿನ್ನವಾಗಿವೆ. ಮಾಲೀಕರನ್ನು ನೀವು ಹೆಸರಿಸಬಹುದಾದ ಆಯ್ಕೆಯನ್ನು ಆರಿಸಿ.
ಪ್ರಮಾಣಪತ್ರ ಆಧಾರಿತ ದೃಢೀಕರಣಕ್ಕೆ AWS Private CA ಕಡ್ಡಾಯ ಮಾಡುವುದಿಲ್ಲ. ACM ನಲ್ಲಿ ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಇಡುವುದು ನಿಯೋಜನೆಯ ಹಂತ, ನೋಂದಣಿ ಪ್ರಕ್ರಿಯೆ ಅಲ್ಲ.
ಅದನ್ನು ನಿರ್ಧರಿಸುವ ಮೂರು ಷರತ್ತುಗಳು
ಮೂರು ಷರತ್ತುಗಳು ಆಯ್ಕೆಗಳನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ಬೇರ್ಪಡಿಸುತ್ತವೆ: ಅನುಮೋದಿತ ಸಾಧನ-ನೋಂದಣಿ ಪ್ರಕ್ರಿಯೆ ಈಗಾಗಲೇ ಇದೆಯೇ, ಬ್ಯಾಕಪ್‌ಗಳು ಮತ್ತು ನೇಮಿತ ಮಾಲೀಕರೊಂದಿಗೆ ಸಹಿ ಕೀಯನ್ನು ನಿರ್ವಹಿಸಬಹುದೇ, ಮತ್ತು ರದ್ದತಿ ಅಂತಿಮ ಬಿಂದುವನ್ನು ತಲುಪುವುದು ಹೇಗೆ. ಪ್ರತಿಯೊಂದೂ ಹೌದು ಅಥವಾ ಇಲ್ಲ ಎಂಬುದಕ್ಕೆ ಹತ್ತಿರವಾಗಿದೆ, ಮತ್ತು ಮೊದಲ ಇಲ್ಲ ಸಾಮಾನ್ಯವಾಗಿ ವಾಸ್ತುಶಿಲ್ಪವನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ.
ಅವುಗಳನ್ನು ಕ್ರಮವಾಗಿ ನೋಡಿ. ನೇರವಾಗಿ ವೆಚ್ಚ ಹೋಲಿಕೆಗೆ ಹಾರುವುದು ತಂಡಗಳು ನಿರ್ವಹಿತ CA ಯೊಂದಿಗೆ ಉಳಿಯುವ ಮತ್ತು ಮುಂದಿನ ಲ್ಯಾಪ್‌ಟಾಪ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಯಾರು ನೀಡುತ್ತಾರೆ ಎಂದು ಯಾರಿಗೂ ತಿಳಿಯದಂತಹ ಪರಿಸ್ಥಿತಿಗೆ ಕಾರಣವಾಗುತ್ತದೆ.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
ಮೊದಲ ಷರತ್ತು: ನೋಂದಣಿ ಈಗಾಗಲೇ ಇದೆಯೇ?
ನಿಮ್ಮ ಸಂಸ್ಥೆ ಈಗಾಗಲೇ ಅನುಮೋದಿತ ಸಾಧನ-ನೋಂದಣಿ ಮಾರ್ಗವಿರುವ CA ಅನ್ನು ನಿರ್ವಹಿಸುತ್ತಿದ್ದರೆ, ಅಲ್ಲಿಂದ Client VPN ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ನೀಡುವುದು ಅತ್ಯಂತ ಚಿಕ್ಕ ಮಾರ್ಗ. ಅನುಮೋದನೆಗಳು, ಪ್ರಕ್ರಿಯೆ ಮತ್ತು ಸ್ವತ್ತು ದಾಖಲೆಗಳು ಈಗಾಗಲೇ ಅಲ್ಲಿವೆ. ಆ ಕ್ರಮಾನುಗತಿಯ ಅಡಿಯಲ್ಲಿ ಮೀಸಲಾದ ಅಧೀನ ನೀಡುವವರು ಸಾಮಾನ್ಯ ಉದ್ದೇಶದ ನೀಡುವ CA ಗಿಂತ ಸಾಮಾನ್ಯವಾಗಿ ಉತ್ತಮ, ಏಕೆಂದರೆ ಅದು VPN ಗೆ ತನ್ನದೇ ಆದ ವಿಶ್ವಾಸ ಮಿತಿ ಮತ್ತು ತನ್ನದೇ ಆದ ರದ್ದತಿ ಪಟ್ಟಿಯನ್ನು ನೀಡುತ್ತದೆ. ಆ ಪಟ್ಟಿಯನ್ನು ಕ್ರಮಾನುಗತಿಯ ಉಳಿದ ಭಾಗದಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿ ಇರಿಸಿ, ಇದರಿಂದ VPN ಘಟನೆ ಇಡೀ PKI ನಲ್ಲಿ ಬದಲಾವಣೆಯನ್ನು ಒತ್ತಾಯಿಸದು.
ಅಂತಹ ಪ್ರಕ್ರಿಯೆ ಇಲ್ಲದಿದ್ದರೆ, ನಿಜವಾದ ಪ್ರಶ್ನೆ ಎಂದರೆ ನೀವು ಒಂದನ್ನು ನಿರ್ಮಿಸಲು ಬಯಸುತ್ತೀರಾ. CA ಪ್ರಾರಂಭಿಸುವುದು ಸುಲಭ ಮತ್ತು ಕೆಟ್ಟದಾಗಿ ಹೊಂದುವುದು ದುಬಾರಿ.
ಎರಡನೇ ಷರತ್ತು: ನೀವು ಸಹಿ ಕೀಯನ್ನು ನಿರ್ವಹಿಸಬಹುದೇ?
ಸ್ವಯಂ ನಿರ್ವಹಿತ ನೀಡುವವರು ದಾಖಲಿತ ಆಮದು ಮಾದರಿಯೊಂದಿಗೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ, ಮತ್ತು EasyRSA ಅಥವಾ ಸಣ್ಣ ಆಂತರಿಕ ಸಾಧನವು ಸಾಮಗ್ರಿಯನ್ನು ತಯಾರಿಸಬಹುದು. ಆಜ್ಞೆಯನ್ನು ಚಲಾಯಿಸುವುದು ಕಷ್ಟದ ಭಾಗವಲ್ಲ. ಕಷ್ಟದ ಭಾಗ ಸಹಿ ಕೀಯ ಆಫ್‌ಲೈನ್ ಬ್ಯಾಕಪ್‌ಗಳು, ಯಾರೋ ನಿಜವಾಗಿ ಪರೀಕ್ಷಿಸಿದ ಮರುಪ್ರಾಪ್ತಿ ಮಾರ್ಗ, ರಜೆಯಲ್ಲಿಲ್ಲದ ಮಾಲೀಕ, ಮತ್ತು ಕೀ ಎಂದಿಗೂ ಕ್ಲೈಂಟ್ ಬಂಡಲ್ ಅಥವಾ ಸಂರಚನೆ ರಫ್ತಿಗೆ ಸೇರದಂತಹ ನಿಯಮ. ಮೊದಲ ಪ್ರಮಾಣಪತ್ರ ನೀಡುವ ಮೊದಲೇ ಇದನ್ನು ಕಾರ್ಯವಿಧಾನವಾಗಿ ಬರೆಯಿರಿ, ಮೊದಲ ಘಟನೆಯ ನಂತರ ಅಲ್ಲ.
AWS Private CA ಆ ಕಾಪನ್ನು ನಿರ್ವಹಿತ ಸೇವೆಗೆ ಸ್ಥಳಾಂತರಿಸುತ್ತದೆ. ಅದು ನೋಂದಣಿ ನೀತಿ, ಅನುಮೋದನೆ ಹಂತ ಅಥವಾ ಸಾಧನಕ್ಕೆ ಪ್ರಮಾಣಪತ್ರದ ವಿತರಣೆಯನ್ನು ಸ್ಥಳಾಂತರಿಸುವುದಿಲ್ಲ.
ಮೂರನೇ ಷರತ್ತು: ರದ್ದತಿ ಹೇಗೆ ಬರುತ್ತದೆ?
Client VPN ನೀವು ಅಂತಿಮ ಬಿಂದುವಿಗೆ ಆಮದು ಮಾಡುವ ಕ್ಲೈಂಟ್-ಪ್ರಮಾಣಪತ್ರ ರದ್ದತಿ ಪಟ್ಟಿಯನ್ನು ಬಳಸುತ್ತದೆ, ಪ್ರಮಾಣಪತ್ರ ಜೀವನಚಕ್ರ ಮಾರ್ಗದರ್ಶಿಯಲ್ಲಿ ವಿವರಿಸಿದಂತೆ. ನಿಮ್ಮ PKI ಯಲ್ಲಿ ಬೇರೆಡೆ CRL ಪ್ರಕಟಿಸುವುದು ಅದನ್ನು ಸೇವೆಗೆ ತಳ್ಳುವುದಿಲ್ಲ. ಆಮದು ಪ್ರತ್ಯೇಕ, ನಿಗದಿತ ಕಾರ್ಯಾಚರಣೆ, ಮತ್ತು ಅವಧಿ ಮುಗಿದ ಪಟ್ಟಿ ಮೌನವಾಗಿ ಕ್ಷೀಣಿಸುವ ಬದಲು ಸಂಪರ್ಕಗಳನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ. ನವೀಕರಣವನ್ನು ಪ್ರಮಾಣಪತ್ರಗಳದೇ ಕ್ಯಾಲೆಂಡರ್‌ನಲ್ಲಿ ಇರಿಸಿ.
ಇದು ನವೀಕರಣವನ್ನು ಮಾಲೀಕರಿರುವ ಮೇಲ್ವಿಚಾರಣಾ ಅಂಶವಾಗಿಸುತ್ತದೆ, ಪ್ರಾರಂಭದಲ್ಲಿ ಮುಗಿಯುವ ಕೆಲಸವಲ್ಲ. ಕಾರ್ಯವಿಧಾನವು ನಿಜವಾಗಿ ಬೇಕಾಗುವ ಮೊದಲೇ ಒಂದು ಪರೀಕ್ಷಾ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಆರಂಭದಿಂದ ಕೊನೆಯವರೆಗೆ ರದ್ದುಗೊಳಿಸಿ.
ಯಾವ ಆಯ್ಕೆಯೂ ತೆಗೆದುಹಾಕದಿರುವುದು
ಪ್ರತಿ ಆಯ್ಕೆಗೂ ಇನ್ನೂ ಪ್ರತಿ ಸ್ವತಂತ್ರವಾಗಿ ನಿರ್ವಹಿಸಲಾದ ಸಾಧನಕ್ಕೆ ಪ್ರತ್ಯೇಕ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಕೀ ಬೇಕು. ಎಲ್ಲರಿಗೂ ಒಂದೇ ಗುರುತನ್ನು ಹಂಚುವ ಟ್ಯುಟೋರಿಯಲ್ ಟ್ಯುಟೋರಿಯಲ್‌ನ ಶಾರ್ಟ್‌ಕಟ್, ಮತ್ತು ಅದು ಆಯ್ದ ರದ್ದತಿಯನ್ನೂ ಅಸಾಧ್ಯಗೊಳಿಸುತ್ತದೆ.
ACM ನಲ್ಲಿ ಆಮದು ಮಾಡಿದ ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರಗಳಿಗೆ ನಿರ್ವಹಿತ ನವೀಕರಣವಿಲ್ಲ, ಆದ್ದರಿಂದ ಮಾಲೀಕರು ಬದಲಿಯನ್ನು ಪಡೆದು, ಮತ್ತೆ ಆಮದು ಮಾಡಿ, ನಂತರ ಅಂತಿಮ ಬಿಂದುವು ಅದನ್ನು ಅಳವಡಿಸಿಕೊಂಡಿದೆ ಎಂದು ದೃಢೀಕರಿಸಬೇಕು. ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನವೀಕರಿಸುವುದು ಲ್ಯಾಪ್‌ಟಾಪ್‌ಗಳಲ್ಲಿ ಈಗಾಗಲೇ ಇರುವ ಕ್ಲೈಂಟ್ ರುಜುವಾತುಗಳನ್ನು ನವೀಕರಿಸುವುದಿಲ್ಲ. ಅವು ಪ್ರತ್ಯೇಕ ಕ್ಯಾಲೆಂಡರ್‌ಗಳಿರುವ ಪ್ರತ್ಯೇಕ ಜೀವನಚಕ್ರಗಳು.
ಏನನ್ನಾದರೂ ನೀಡುವ ಮೊದಲು ಸೇವೆ ಸ್ವೀಕರಿಸುವ ಕೀ ಪ್ರಕಾರಗಳು ಮತ್ತು ವಿಸ್ತರಣೆಗಳನ್ನು ಪರಿಶೀಲಿಸಿ. CA ಒಂದು ಅಲ್ಗಾರಿದಮ್ ಅನ್ನು ಬೆಂಬಲಿಸುವುದು ಅಂತಿಮ ಬಿಂದುವು ಅದನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ ಎಂದು ಅರ್ಥವಲ್ಲ.
ಪ್ರಾರಂಭಿಸುವ ಮೊದಲು ನೀವು ಆರಿಸಿದ ಕಾರ್ಯಹರಿವಿನ ಮೂಲಕ ಒಂದು ನವೀಕರಣ ಮತ್ತು ಒಂದು ಕ್ಲೈಂಟ್ ತೆಗೆದುಹಾಕುವಿಕೆಯನ್ನು ನಡೆಸಿ, ಯಾವ ರುಜುವಾತು ಬದಲಾಯಿತು, ಯಾವ ಅಂತಿಮ ಬಿಂದು ಸೆಟ್ಟಿಂಗ್ ಬದಲಾಯಿತು ಮತ್ತು ಸಕ್ರಿಯ ಸೆಷನ್‌ಗೆ ಏನಾಯಿತು ಎಂದು ಬರೆಯಿರಿ. ಆ ಅಭ್ಯಾಸವು ಸ್ಪಷ್ಟ ಮಾಲೀಕರಿಲ್ಲದೆ ಮುಗಿದರೆ, ನೀಡುವವರ ಆಯ್ಕೆ ಮುಗಿದಿಲ್ಲ.