AWS Client VPN: wéi eng CA soll Client-Zertifikater ausstellen?
Eng bestoend CA, en eegene Bedreiwer an AWS Private CA deelen d’Aarbecht anescht. Entscheet, wien Client-Zertifikater genehmegt, erneiert an entzitt, ier dir start.
D’Zertifikatsfro bei AWS Client VPN gëtt als Produktfro gestallt, an et ass wierklech eng Betribsfro. Jiddweree vun den dräi übleche Konfiguratiounen hält en funktionéierenden Tunnel: eng bestoend organisatoresch CA, en eegene separate Bedreiwer oder AWS Private CA. Si ënnerscheede sech doran, wien en Apparat genehmegt, wien de Signaturschlëssel hält, a wien äntwert, wann e Laptop zu enger onpassender Stonn verschwënnt. Wielt d’Optioun, deenen hire Responsabelen dir nenne kënnt.
AWS verlaangt keng Private CA fir d’Zertifikatsauthentifikatioun. En Serverzertifikat an ACM ze leeën ass en Deployementsschrëtt, keen Inskriptiounsprozess.
Déi dräi Konditiounen, déi et decidéieren
Dräi Konditioune trennen d’Optiounen: ob et schonn e genehmegten Apparats-Inskriptiounsprozess gëtt, ob dir e Signaturschlëssel mat Backuppen an engem genannten Responsabelen bedreiwe kënnt, a wéi en Entzuch den Endpunkt erreecht. All ass no bei engem Jo oder Neen, an dat éischt Neen entscheet meeschtens d’Architektur.
Schafft se der Rei no duerch. Direkt op e Käschtevergläich ze sprangen ass wéi Equippen mat enger verwalteter CA do stoen an et keen weess, wien dat nächst Laptopzertifikat ausstellt.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Éischt Konditioun: gëtt et schonn eng Inskriptioun?
Wann Är Organisatioun schonn eng CA mat engem genehmegten Apparats-Inskriptiounswee bedreift, ass d’Ausstelle vun Client VPN-Clientzertifikater vun do de kierzte Wee. D’Genehmegungen, de Prozess an d’Aktiven-Dateien sinn och do. En eegene ënnergeuerdnete Bedreiwer ënner där Hierarchie ass meeschtens besser wéi d’allgemeng Ausstellungs-CA, well en der VPN hir eege Vertrauensgrenz an hir eege Entzuchslëscht gëtt. Halt déi Lëscht vum Rescht vun der Hierarchie getrennt, sou datt e VPN-Virfall keng Ännerung iwwer d’ganz PKI erzwingt.
Gëtt et sou e Prozess net, ass déi richteg Fro, ob dir een opbaue wëllt. Eng CA ass liicht ugefaangen an deier schlecht besëtzt.
Zweet Konditioun: kënnt dir e Signaturschlëssel bedreiwen?
En eegene Bedreiwer fonctionnéiert mam dokumentéierten Importmodell, an EasyRSA oder en klengt internen Tool kann d’Material produzéieren. Den Uerder auszeféieren ass net de schwéieren Deel. De schwéieren Deel sinn Offline-Backuppe vum Signaturschlëssel, en Erhuelungswee, deen een tatsächlech getest huet, e Responsabelen, deen net am Congé ass, an eng Regel, datt de Schlëssel ni an engem Clientbundle oder engem Konfiguratiounsexport lant. Schreift dat als Prozedur op, ier dat éischt Zertifikat ausgestallt gëtt, net no dem éischte Virfall.
AWS Private CA verréckelt déi Verwahrung an e verwalteten Déngscht. Et verréckelt net d’Inskriptiounspolitik, den Genehmegungsschrëtt oder d’Liwwerung vum Zertifikat un den Apparat.
Drëtt Konditioun: wéi kënnt den Entzuch un?
Client VPN verbraucht eng Entzuchslëscht fir Clientzertifikater, déi dir an den Endpunkt importéiert, wéi am Leitfuedem zum Zertifikatsliewenszyklus beschriwwen. Eng CRL soss an Ärer PKI ze publizéieren dréckt se net an den Déngscht. Den Import ass eng separat, geplangte Operatioun, an eng ofgelaf Lëscht stoppt Verbindungen, anstatt sech roueg ze verschlechteren. Setzt d’Erneierung op dee selwechte Kalenner wéi d’Zertifikater selwer.
Dat mécht d’Erneierung zu engem Iwwerwaachungspunkt mat engem Responsabelen, net eng Aufgab, déi beim Start fäerdeg geet. Entzitt een Testzertifikat vun Ufank bis Enn, éier dir de Mechanismus wierklech braucht.
Wat keng vun den Optiounen ewechhëlt
All Optioun brauch nach ëmmer een eege Clientzertifikat an eege Schlëssel pro onofhängeg verwaltent Apparat. En Tutorial, deen een eenzegt Identitéit un all verdeelt, ass eng Tutorialsofkierzung, an et mécht och en selektiven Entzuch onméiglech.
Importéiert Serverzertifikater an ACM hunn keng verwalt Erneierung, dofir muss de Responsabelen den Ersatz beschafen, en erëm importéieren an duerno bestätegen, datt den Endpunkt en ugeholl huet. De Serverzertifikat z’erneieren erneiert net d’Client-Donneeën, déi schonn op Laptopen sinn. Dat sinn getrennt Liewenszyklusen mat getrennte Kalenner.
Préift d’Schlësseltypen an d’Extensiounen, déi den Déngscht akzeptéiert, ier dir eppes ausstellt. Datt eng CA en Algorithmus ënnerstëtzt heescht net, datt den Endpunkt en akzeptéiert.
Virum Start, féiert eng Erneierung an e Client-Ewechhuele duerch de gewielten Aarbechtsfloss, a schreift op, wéi eng Donnéeë sech geännert hunn, wéi eng Endpunkt-Astellung sech geännert huet a wat mat der aktiver Sessioun geschitt ass. Wann dës Übung ouni kloeren Responsabelen op en Enn geet, ass d’Wiel vum Aussteller net fäerdeg.