AWS Client VPN: kuri CA turėtų išduoti klientų sertifikatus?
Esama CA, savarankiškai valdomas išdavėjas ir AWS Private CA darbą dalijasi skirtingai. Nuspręskite, kas tvirtina, atnaujina ir panaikina klientų sertifikatus prieš paleidimą.
AWS Client VPN sertifikatų klausimas pateikiamas kaip produkto klausimas, o iš tikrųjų tai operacinis klausimas. Bet kuri iš trijų įprastų sąrankų palaikys veikiantį tunelį: esama organizacijos CA, atskiras savarankiškai valdomas išdavėjas arba AWS Private CA. Jos skiriasi tuo, kas tvirtina įrenginį, kas saugo pasirašymo raktą ir kas atsako, kai nepatogią valandą dingsta nešiojamasis kompiuteris. Pasirinkite variantą, kurio savininką galite įvardyti.
AWS nereikalauja Private CA sertifikatų autentifikacijai. Serverio sertifikato įdėjimas į ACM yra diegimo žingsnis, o ne registracijos procesas.
Trys sąlygos, kurios tai nulemia
Trys sąlygos aiškiai atskiria variantus: ar jau yra patvirtintas įrenginių registracijos procesas, ar galite valdyti pasirašymo raktą su atsarginėmis kopijomis ir paskirtu savininku, ir kaip panaikinimas pasiekia galinį tašką. Kiekviena yra arti taip arba ne, o pirmasis ne paprastai nulemia architektūrą.
Nagrinėkite jas iš eilės. Šuolis tiesiai prie kaštų palyginimo yra būdas, kuriuo komandos lieka su valdoma CA ir niekas nežino, kas išduos kitą nešiojamojo kompiuterio sertifikatą.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Pirmoji sąlyga: ar registracija jau yra?
Jei jūsų organizacija jau valdo CA su patvirtintu įrenginių registracijos keliu, klientų sertifikatų Client VPN išdavimas iš jos yra trumpiausias kelias. Patvirtinimai, procesas ir turto įrašai jau yra. Skirtasis pavaldus išdavėjas toje hierarchijoje paprastai yra geresnis už bendros paskirties išduodančią CA, nes suteikia VPN savo pasitikėjimo ribą ir savo panaikinimo sąrašą. Laikykite tą sąrašą atskirai nuo likusios hierarchijos, kad VPN incidentas nepriverstų keisti visos PKI.
Jei tokio proceso nėra, tikrasis klausimas yra ar norite jį sukurti. CA pradėti lengva, o blogai valdyti brangu.
Antroji sąlyga: ar galite valdyti pasirašymo raktą?
Savarankiškai valdomas išdavėjas veikia su dokumentuotu importo modeliu, o EasyRSA ar mažas vidinis įrankis gali sukurti medžiagą. Komandos vykdymas nėra sunkioji dalis. Sunkioji dalis yra pasirašymo rakto atsarginės kopijos neprisijungus, atkūrimo kelias, kurį kas nors tikrai išbandė, savininkas, kuris ne atostogauja, ir taisyklė, kad raktas niekada nepatenka į kliento paketą ar konfigūracijos eksportą. Užsirašykite tai kaip procedūrą prieš išduodant pirmąjį sertifikatą, o ne po pirmojo incidento.
AWS Private CA perkelia tą saugojimą į valdomą paslaugą. Ji neperkelia registracijos politikos, tvirtinimo žingsnio ar sertifikato pristatymo įrenginiui.
Trečioji sąlyga: kaip ateina panaikinimas?
Client VPN naudoja klientų sertifikatų panaikinimo sąrašą, kurį importuojate į galinį tašką, kaip aprašyta sertifikato gyvavimo ciklo vadove. CRL paskelbimas kitur jūsų PKI neįstumia jo į paslaugą. Importas yra atskira, suplanuota operacija, o pasibaigęs sąrašas sustabdo ryšius, o ne tyliai prastėja. Įdėkite atnaujinimą į tą patį kalendorių kaip ir pačius sertifikatus.
Tai paverčia atnaujinimą stebėjimo punktu su savininku, o ne užduotimi, kuri baigiama paleidžiant. Panaikinkite vieną bandomąjį sertifikatą nuo pradžios iki pabaigos, prieš jums tikrai prireikiant mechanizmo.
Ko nepašalina nė vienas variantas
Kiekvienam variantui vis dar reikia atskiro kliento sertifikato ir rakto kiekvienam savarankiškai valdomam įrenginiui. Vadovas, kuris visiems dalija vieną tapatybę, yra vadovo trumpinys, ir jis taip pat padaro selektyvų panaikinimą neįmanomą.
Importuoti serverio sertifikatai ACM neturi valdomo atnaujinimo, todėl savininkas turi gauti pakaitalą, vėl jį importuoti ir tada patvirtinti, kad galinis taškas jį perėmė. Serverio sertifikato atnaujinimas neatnaujina kliento prisijungimo duomenų, jau esančių nešiojamuosiuose kompiuteriuose. Tai atskiri gyvavimo ciklai su atskirais kalendoriais.
Prieš ką nors išduodami patikrinkite raktų tipus ir plėtinius, kuriuos paslauga priima. Tai, kad CA palaiko algoritmą, nereiškia, kad galinis taškas jį priims.
Prieš paleidimą atlikite vieną atnaujinimą ir vieną kliento pašalinimą pasirinktu darbo procesu ir užrašykite, kurie prisijungimo duomenys pasikeitė, kuri galinio taško nuostata pasikeitė ir kas atsitiko aktyviai sesijai. Jei šis pratimas baigiasi be aiškaus savininko, išdavėjo pasirinkimas nebaigtas.