AWS Client VPN: kuram CA jāizdod klientu sertifikātus?
Esošs CA, pašu pārvaldīts izdevējs un AWS Private CA darbu sadala atšķirīgi. Pirms palaišanas izlemiet, kas apstiprina, atjauno un atsauc klientu sertifikātus.
AWS Client VPN sertifikātu jautājums tiek uzdots kā produkta jautājums, taču patiesībā tas ir darbības jautājums. Jebkura no trim ierastajām konfigurācijām uzturēs strādājošu tuneli: esošs organizācijas CA, atsevišķs pašu pārvaldīts izdevējs vai AWS Private CA. Tās atšķiras ar to, kas apstiprina ierīci, kam pieder parakstīšanas atslēga un kas atbild, kad neērtā stundā pazūd klēpjdators. Izvēlieties opciju, kuras atbildīgo jūs varat nosaukt.
AWS neprasa Private CA sertifikātu autentifikācijai. Servera sertifikāta ievietošana ACM ir izvietošanas solis, nevis reģistrācijas process.
Trīs nosacījumi, kas to izšķir
Trīs nosacījumi skaidri atdala opcijas: vai jau pastāv apstiprināts ierīču reģistrācijas process, vai jūs varat pārvaldīt parakstīšanas atslēgu ar dublējumkopijām un norādītu atbildīgo, un kā atsaukšana nonāk galapunktā. Katrs ir tuvu jā vai nē, un pirmais nē parasti izšķir arhitektūru.
Izskatiet tos secībā. Lēciens tieši uz izmaksu salīdzināšanu ir veids, kā komandas paliek ar pārvaldītu CA un neviens nezina, kas izdos nākamo klēpjdatora sertifikātu.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Pirmais nosacījums: vai reģistrācija jau ir?
Ja jūsu organizācija jau pārvalda CA ar apstiprinātu ierīču reģistrācijas ceļu, Client VPN klientu sertifikātu izdošana no tās ir īsākais ceļš. Apstiprinājumi, process un aktīvu uzskaite jau ir. Šīs hierarhijas pakārtots atsevišķs izdevējs parasti ir labāks par vispārējas nozīmes izdevējCA, jo tas VPN dod savu uzticēšanās robežu un savu atsaukšanas sarakstu. Turiet šo sarakstu atsevišķi no pārējās hierarhijas, lai VPN incidents neuzspiestu izmaiņas visā PKI.
Ja šāda procesa nav, īstais jautājums ir, vai vēlaties to izveidot. CA ir viegli sākt un dārgi slikti pārvaldīt.
Otrais nosacījums: vai varat pārvaldīt parakstīšanas atslēgu?
Pašu pārvaldīts izdevējs strādā ar dokumentēto importa modeli, un EasyRSA vai mazs iekšējs rīks var radīt materiālu. Komandas izpilde nav grūtā daļa. Grūtā daļa ir parakstīšanas atslēgas bezsaistes dublējumkopijas, atkopšanas ceļš, ko kāds patiešām pārbaudījis, atbildīgais, kas nav atvaļinājumā, un noteikums, ka atslēga nekad nenonāk klienta komplektā vai konfigurācijas eksportā. Pierakstiet to kā procedūru pirms pirmā sertifikāta izdošanas, nevis pēc pirmā incidenta.
AWS Private CA pārceļ šo glabāšanu uz pārvaldītu pakalpojumu. Tas nepārceļ reģistrācijas politiku, apstiprināšanas soli vai sertifikāta piegādi ierīcei.
Trešais nosacījums: kā atnāk atsaukšana?
Client VPN izmanto klientu sertifikātu atsaukšanas sarakstu, ko jūs importējat galapunktā, kā aprakstīts sertifikāta dzīves cikla rokasgrāmatā. CRL publicēšana citur jūsu PKI to neiespiež pakalpojumā. Imports ir atsevišķa, plānota darbība, un beidzies saraksts pārtrauc savienojumus, nevis klusi pasliktinās. Ielieciet atjaunošanu tajā pašā kalendārā kā pašus sertifikātus.
Tas padara atjaunošanu par uzraudzības vienumu ar atbildīgo, nevis uzdevumu, kas beidzas palaišanas laikā. Atsauciet vienu testa sertifikātu no sākuma līdz beigām, pirms mehānisms jums tiešām vajadzīgs.
Ko neviena opcija neizslēdz
Katrai opcijai joprojām vajag atsevišķu klienta sertifikātu un atslēgu katram neatkarīgi pārvaldītam ierīcei. Rokasgrāmata, kas visiem izdala vienu identitāti, ir rokasgrāmatas saīsne, un tā arī padara selektīvu atsaukšanu neiespējamu.
ACM importētiem servera sertifikātiem nav pārvaldītas atjaunošanas, tāpēc atbildīgajam jāiegūst aizstājējs, tas jāimportē vēlreiz un pēc tam jāapstiprina, ka galapunkts to ir pārņēmis. Servera sertifikāta atjaunošana neatjauno klienta akreditācijas datus, kas jau atrodas klēpjdatoros. Tie ir atsevišķi dzīves cikli ar atsevišķiem kalendāriem.
Pirms kaut ko izdot, pārbaudiet atslēgu tipus un paplašinājumus, ko pakalpojums pieņem. Tas, ka CA atbalsta algoritmu, nenozīmē, ka galapunkts to pieņems.
Pirms palaišanas izpildiet vienu atjaunošanu un vienu klienta noņemšanu izvēlētajā darbplūsmā un pierakstiet, kuri akreditācijas dati mainījās, kurš galapunkta iestatījums mainījās un kas notika ar aktīvo sesiju. Ja šis vingrinājums beidzas bez skaidra atbildīgā, izdevēja izvēle nav pabeigta.