AWS Client VPN: кардар сертификаттарын кайсы CA берүү керек?
Учурдагы CA, өзү башкарган берүүчү жана AWS Private CA ишти ар башкача бөлүшөт. Ишке киргизүүдөн мурун кардар сертификаттарын ким беките турганын, жаңырта турганын жана жокко чыгара турганын чечиңиз.
AWS Client VPN боюнча сертификат маселеси продукт маселеси катары коюлат, бирок чындыгында бул операциялык маселе. Кадимки үч конфигурациянын кайсынысы болбосун иштеп турган туннелди сактайт: учурдагы уюмдук CA, атайын өзү башкарган берүүчү же AWS Private CA. Алар түзмөктү ким беките турганы, кол коюу ачкычын ким сактай турганы жана ыңгайсыз саатта ноутбук жоголгондо ким жооп берери менен айырмаланат. Ээсин атай алган вариантты тандаңыз.
AWS сертификат аркылуу аутентификация үчүн Private CA талап кылбайт. Сервер сертификатын ACMге жайгаштыруу — жайгаштыруу кадамы, каттоо процесси эмес.
Чечимди аныктаган үч шарт
Үч шарт варианттарды так бөлөт: бекитилген түзмөк каттоо процесси буга чейин барбы, камдык көчүрмөлөр жана аталган ээси бар кол коюу ачкычын башкара аласызбы, жана жокко чыгаруу акыркы чекитке кантип жетет. Ар бири «ооба» же «жок»ко жакын, жана биринчи «жок» адатта архитектураны чечет.
Аларды тартиби менен караңыз. Түз эле чыгымдарды салыштырууга секирүү — командалардын башкарылуучу CA менен калып, кийинки ноутбук сертификатын ким берерин эч ким билбеген абалга алып келет.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Биринчи шарт: каттоо буга чейин барбы?
Эгер уюмуңуз буга чейин бекитилген түзмөк каттоо жолу бар CAны башкарса, андан Client VPN кардар сертификаттарын берүү эң кыска жол. Бекитүүлөр, процесс жана активдердин жазуулары ал жерде буга чейин бар. Ошол иерархиянын астындагы атайын төмөнкү берүүчү жалпы максаттагы берүүчү CAдан адатта жакшыраак, анткени ал VPNге өзүнүн ишеним чек арасын жана өзүнүн жокко чыгаруу тизмесин берет. Бул тизмени иерархиянын калган бөлүгүнөн өзүнчө кармаңыз, ошондо VPN окуясы бүт PKI боюнча өзгөртүүнү талап кылбайт.
Мындай процесс жок болсо, чыныгы суроо — аны курууну каалайсызбы. CAны баштоо оңой, аны начар кармоо кымбат.
Экинчи шарт: кол коюу ачкычын башкара аласызбы?
Өзү башкарган берүүчү документтелген импорт модели менен иштейт, ал эми EasyRSA же кичинекей ички курал материалды жасай алат. Буйрукту иштетүү кыйын бөлүк эмес. Кыйын бөлүк — кол коюу ачкычынын тармактан тышкаркы камдык көчүрмөлөрү, бирөө чындап текшерген калыбына келтирүү жолу, эс алууда эмес ээси жана ачкыч эч качан кардар топтомусуна же конфигурация экспортуна түшпөө тууралуу эреже. Муну биринчи сертификат берилгенге чейин процедура катары жазыңыз, биринчи окуядан кийин эмес.
AWS Private CA бул сактоону башкарылуучу кызматка өткөрөт. Ал каттоо саясатын, берүү кадамын же сертификатты түзмөккө жеткирүүнү өткөрбөйт.
Үчүнчү шарт: жокко чыгаруу кантип келет?
Client VPN акыркы чекитке импорттогон кардар сертификаттарын жокко чыгаруу тизмесин колдонот, сертификаттын жашоо циклиндеги колдонмодо сүрөттөлгөндөй. PKIде башка жерде CRL жарыялоо аны кызматка түртпөйт. Импорт — өзүнчө, пландаштырылган операция, ал эми мөөнөтү өткөн тизме байланыштарды токтотот, акырын начарлабайт. Жаңыртууну сертификаттардын өз календарына коюңуз.
Бул жаңыртууну ээси бар мониторинг элементине айландырат, ишке киргизүүдө бүтө турган тапшырма эмес. Механизм чындап керек боло электе бир сыноо сертификатын башынан аягына чейин жокко чыгарыңыз.
Эч бир вариант жок кылбаган нерсе
Ар бир вариант дагы эле ар бир өз алдынча башкарылуучу түзмөк үчүн өзүнчө кардар сертификаты жана ачкычы керек. Баарына бир инсандыкты бөлүштүргөн окуу куралы — окуу куралынын кыска жолу, жана ал тандама жокко чыгарууну да мүмкүн эмес кылат.
ACMге импорттолгон сервер сертификаттарында башкарылуучу жаңыртуу жок, ошондуктан ээси алмаштыргычты алып, аны кайра импорттоп, анан акыркы чекит аны кабыл алганын ырастоосу керек. Сервер сертификатын жаңыртуу ноутбуктерде буга чейин турган кардар далилдерин жаңыртпайт. Булар — өзүнчө календарлары бар өзүнчө жашоо циклдери.
Бир нерсе бергенге чейин кызмат кабыл алган ачкыч түрлөрүн жана кеңейтүүлөрүн текшериңиз. CAнын алгоритмди колдоосу акыркы чекит аны кабыл алат дегенди билдирбейт.
Ишке киргизүүдөн мурун тандаган иш агымыңыз аркылуу бир жаңыртууну жана бир кардарды алып салууну өткөрүп, кайсы далил өзгөргөнүн, кайсы акыркы чекит жөндөөсү өзгөргөнүн жана активдүү сессияга эмне болгонун жазыңыз. Эгер бул көнүгүү так ээсиз бүтсө, берүүчүнү тандоо бүтө элек.