CSR өзү эле каттоо эмес: VPN CA эмнени текшерүүсү керек

Сертификатка кол коюу өтүнмөсүндө тиешелүү жеке ачкыч менен кол коюлган ачык ачкыч жана суралган subject болот. Бул кол тамга өтүнмө берүүчүнүн ачкычы бар экенин далилдейт. Ал өтүнмө берүүчүнүн суралган атка, түзмөккө же VPN ролуна укугу бар экенин далилдебейт, жана өтүнмөнү ушундай далилдегендей кабыл алуу — жардам үстөлүнүн билетинин жетүү уруксатына айлануу жолу.

Эки каттоо моделин кайсы протоколдо сүйлөгөнү боюнча эмес, эмнени байланыштырары боюнча салыштырууга татыктуу.

Өтүнмө атты билдирет, аны далилдебейт

Өтүнмөнү ичинде чындап эмне бар экени боюнча окуңуз: ачык ачкыч, өтүнмө берүүчү тандаган subject жана экөөнө коюлган өздүк кол тамга. Бул түзүлүштө сиздин тизмеңизге, эсептер каталогуна же бекитүү агымына шилтеме кылган эч нерсе жок. cn=finance-laptop сыяктуу subject — бирөө терген сап. Берүү процесси бул сапты ишенген жазуу менен салыштырмайынча, сертификат кол тамгасы тиркелген ырастоо болуп кала берет. Ушул айырма каттоо процессинин бар болушунун бүткүл себеби.

Анын натыйжасы операциялык мааниге ээ. Сертификат органына сертификат берүү үчүн кардардын жеке ачкычы эч качан керек эмес, ал эми аны талап кылган процесс кол коюуну ачкыч сактоо менен аралаштырган. Генерацияны акыркы чекитте калтырыңыз жана ачык жарымын гана жөнөтүңүз.

Моделдерди эмнени байланыштырары боюнча салыштырыңыз

Кол менен кол коюу оператор эсинде калган текшерүүнү байланыштырат. Автоматташтырылган каттоо кызматы аутентификацияланган өтүнмөнү кызмат аткара ала турган чечимге байланыштырат, жана RFC 7030 кардар сертификат кайтарылганга чейин аутентификацияланган ушундай бир долбоорду сүрөттөйт. Аудиттен өткөн айырма — автоматташтыруу эмес; ал инсандыкты текшерүү берүү жолунун ичиндеби же анын жанындабы.

Эки модель тең эле ошол эле үч суроого жооп бериши керек. Ким сурайт, кайсы түзмөктө же ролдо жана канча убакытка. Жоопторду жазуучу билет системасы чыныгы иш кылат; бирөө жалпы атка карап отурган кезек кылбайт, кийин сертификат канчалык тыкан форматталса да.

Моделди күтүлгөн каттоолордун санына жана түзмөктөрдүн алмашуусуна жараша тандаңыз. Жылына бир нече сервер жазуу жүзүндөгү текшерүү тизмеси менен кол менен карап чыгууга чыдайт. Ноутбуктардын паркы чыдабайт.

Жашоо циклин биринчи берүүдөн баштап жазыңыз

Сертификаттын идентификаторун, ээсин, максаттуу колдонулушун, мөөнөтүн жана өчүрүү жолун берүү учурунда сактаңыз, биринчи окуяда эмес. Максаттуу колдонулуш кеңейтилген ачкыч колдонуу аркылуу сертификаттын өзүндө болушу керек, ал эми жазуу ага шайкеш келиши керек. Кардарды аутентификациялоо үчүн жасалган сертификат сервер үчүн болгондон айырмаланбаган болбошу керек.

Онунчу профилди берүүдөн мурун жаңыртууну жана жоголгон түзмөктү жокко чыгарууну пландаңыз. Бөлүм боюнча бөлүшүлгөн сертификат максаттуу өчүрүүнү тыныгууга айландырат, жана бул чечимди азыр кайра карап чыгуу жума күнкү окуя учурундагыдан алда канча арзан.

Берилген сертификатты, анан жетүүнү текшериңиз

Каттоодон кийин эмне берилгенин текшериңиз жана анын күтүлгөн органга чынжырланарын ырастаңыз. Эки буйрук жалпы каталарды камтыйт: туура эмес колдонуудагы сертификат жана кардар валидацияны этибарга албоого конфигурациялангандыктан гана иштеген чынжыр.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Андан кийин артефактты эмес, жетүүнү сынаңыз. Сертификат инсандыкты белгилейт, ал эми саясат бул инсандык кайсы кызматтарга жете аларын дагы эле чечет. Экөөнү тең текшериңиз, анткени туура артефакт өтө кенен саясат менен бирге да кароодон өтпөйт. Кардар аутентификацияланып, тек максаттуу маршруттарды же ресурстарды аларын ырастаңыз. Байкаганыңызды жазыңыз, профиль эмне кылышы керек болгонун эмес.

Туура эмес себептен иштеген профиль, мисалы дал келген жалпы ат жана инсандыкты текшерүүнүн жоктугу, сизде бар деп ойлогон көзөмөл алынгандан кийин да иштеп жата берет.