मूळ की शिवाय VPN प्रमाणपत्रे जारी करणे सोपवा

कोणाला VPN क्लायंट नोंदणी करण्याची क्षमता देणे आणि त्याला मूळ कीची पोर्टेबल प्रत देणे या दोन वेगळ्या क्रिया आहेत, आणि फरक तेव्हाच दिसतो जेव्हा ती व्यक्ती निघून जाते किंवा ती की गळते. पहिली तुमच्या नियंत्रणातील कार्यप्रवाहातील क्रिया देते; दुसरी कुठेही, ऑफलाइन, अनिश्चित काळासाठी विश्वास निर्माण करण्याची क्षमता देते. कोणतीही की सामग्री स्पर्श करण्यापूर्वी कामाला कोणती हवी आहे ते ठरवा. पदानुक्रम आकृती तुमच्यासाठी त्या प्रश्नाचे उत्तर देणार नाही.

नोंदणीचे काम तीन प्रश्नांमध्ये लिहा: कोण विनंती करू शकतो, कोण मंजूर करते, आणि जारी करणारा घटक कशावर स्वाक्षरी करू शकतो.

तुम्ही कोणती क्षमता देत आहात ते ठरवा

जारी करणारी सेवा मंजुरी कार्यप्रवाह दाखवू शकते आणि तरीही स्वाक्षरीची सामग्री वेगळ्या मालकाकडे ठेवू शकते. ऑपरेटर उपकरणाची विनंती मंजूर करतो, सेवा धोरण लागू करते आणि जारी करणे नोंदवते, आणि सहभागी कोणीही CA की ठेवत नाही. परवानगी असलेल्या ओळखी, मंजूर करणारे आणि सेवा कशावर स्वाक्षरी करू शकते याची व्याप्ती नोंदवा; नंतर तिचे प्रशासन कीइतक्याच काळजीपूर्वक संरक्षित करा. प्रमाणपत्र स्वाक्षरी विनंती ही विनंती आहे, अधिकृततेचा निर्णय नाही.

हार्डवेअर-समर्थित साठवण कीची प्रत होण्याचा धोका बदलते, अधिकृततेची गरज नाही. निर्यात न करता येणारे म्हणजे की बाहेर काढता येत नाही, आणि याचा अर्थ असा नाही की स्वाक्षरी इंटरफेस कॉल करू शकणाऱ्या कोणालाही प्रमाणपत्राचा हक्क आहे. या दोन गुणधर्मांचे स्वतंत्रपणे मूल्यांकन करा.

मध्यस्थ प्रमाणपत्र अधिकार मर्यादित करते

मूळ दैनंदिन जारी करण्यासाठी मध्यस्थ प्रमाणपत्र प्रमाणित करू शकते, त्यामुळे नियमित काम आता मूळ कीला स्पर्श करत नाही, जोपर्यंत मूळच्या स्वतःच्या स्वाक्षरी आणि पुनर्प्राप्ती प्रक्रिया संरक्षित राहतात. ही खरी सीमा आहे आणि ती मोफत नाही: अजून एक प्रमाणपत्र, अजून एक की, अजून एक नूतनीकरण आणि ठेवायची अजून एक रद्दबातल यादी. जेव्हा ती जाणीवपूर्वक व्यवस्थापन किंवा जोखीम सीमा दर्शवते तेव्हा वापरा. प्रत्येक प्रशासकासाठी जारीकर्ता तयार केल्यास प्रत्येक गोष्टीचे अधिक उत्पादन होते आणि कार्यप्रवाह आधीच देत नव्हता ते काहीही विकत नाही.

VPN पडताळणीकर्ते साखळी तुमच्या अपेक्षेप्रमाणे बांधतात याची खात्री करा. साखळी बांधण्यासाठी मध्यस्थ प्रमाणपत्र पाठवणे आणि ते थेट विश्वासार्ह अअंकर म्हणून स्थापित करणे वेगवेगळी व्यवस्था आहे.

pathLen शून्य म्हणजे तुम्ही विचार करता ते नाही

RFC 5280 विभाग 4.2.1.9 मूलभूत मर्यादा परिभाषित करतो, आणि त्याचे पथ-लांबी क्षेत्र वैध पथामध्ये किती स्व-जारी न केलेली मध्यस्थ प्रमाणपत्रे अनुसरू शकतात हे मर्यादित करते. शून्य मूल्य पुढील मध्यस्थ खोली मर्यादित करते; ते अंतिम-अस्तित्व प्रमाणपत्रांची संख्या मर्यादित करत नाही. लोक हे शून्य प्रमाणपत्रे परवानगी असे वाचतात आणि नंतर जारी करणे अजूनही का काम करते याचे आश्चर्य करतात. क्षेत्र CA साठी खोली मर्यादा म्हणून वाचा, आणि वर्तन अंदाजनीय होते.

तेच विभाग असे सूचित करते की विश्वास अंकर हा पथ पडताळणीचा इनपुट आहे, पथाच्या आत असलेले सामान्य प्रमाणपत्र नाही. म्हणूनच स्व-स्वाक्षरी मूळासाठी रद्दबातल नोंद प्रकाशित करणे त्याला प्रत्येक साठ्यातून विश्वासार्हपणे काढत नाही.

नोकरी सोडणे हा कीचा भंग नाही

जेव्हा निघणाऱ्या व्यक्तीकडे वैयक्तिक व्यवस्थापन खाते याशिवाय काही नव्हते, तेव्हा ती प्रवेश आणि त्याची सत्रे समर्थित ओळख प्रक्रियेद्वारे रद्द करा, नंतर त्याने निर्माण केलेली क्रियाकलाप आणि मंजुरी तपासा. यापूर्वी जारी केलेली क्लायंट प्रमाणपत्रे त्यांचे मंजूर करणारे गेल्यामुळे अवैध होत नाहीत, आणि त्यांना भंग मानणे मोठी, अनावश्यक पुनर्नोंदणी निर्माण करते. खाते अक्षम करणे देखील प्रत केलेली स्वाक्षरी की अवैध करू शकत नाही, म्हणून प्रतिसाद कोणती क्षमता धारण केली होती यावर अवलंबून आहे.

जेव्हा मध्यस्थ प्रमाणपत्र भंग होते, तेव्हा त्याची अधिकृतता मागे घ्यावी लागते आणि त्याने ज्यांची जबाबदारी घेतली त्या प्रत्येक ओळखीची जागा घ्यावी लागते, पडताळणीकर्ता जे धोरण लागू करतो त्यानुसार. मूळ विश्वासाला स्वतःचा प्रतिसाद हवा आहे, कारण अंकर तुम्ही नियंत्रित न करू शकणाऱ्या विश्वास साठ्यांमध्ये राहतो.

चार ठोस प्रकरणांसह रचना स्वीकारा: पात्र उपकरण नोंदणी करते, मंजूर न केलेली विनंती नाकारली जाते, काढून टाकलेला ऑपरेटर आता जारी करू शकत नाही, आणि निवृत्त जारीकर्ता आता प्रवेश देत नाही. ते चार निकालच रनबुक आहेत.