AWS Client VPN: CA manakah yang patut mengeluarkan sijil klien?
CA sedia ada, pengeluar kendiri dan AWS Private CA membahagikan kerja secara berbeza. Tentukan siapa yang meluluskan, memperbaharui dan membatalkan sijil klien sebelum pelancaran.
Soalan sijil pada AWS Client VPN diajukan sebagai soalan produk, sedangkan ia sebenarnya soalan operasi. Mana-mana daripada tiga persediaan biasa akan mengekalkan terowong yang berfungsi: CA organisasi sedia ada, pengeluar kendiri khusus, atau AWS Private CA. Ketiganya berbeza dari segi siapa yang meluluskan peranti, siapa yang memegang kunci tandatangan, dan siapa yang menjawab apabila komputer riba hilang pada waktu yang tidak sesuai. Pilih pilihan yang pemiliknya boleh anda namakan.
AWS tidak mewajibkan Private CA untuk pengesahan sijil. Meletakkan sijil pelayan dalam ACM ialah langkah penggunaan, bukan proses pendaftaran.
Tiga syarat yang menentukannya
Tiga syarat memisahkan pilihan dengan jelas: sama ada proses pendaftaran peranti yang diluluskan sudah wujud, sama ada anda boleh mengendalikan kunci tandatangan dengan sandaran dan pemilik yang dinamakan, dan bagaimana pembatalan sampai ke titik akhir. Setiap satu hampir kepada ya atau tidak, dan tidak yang pertama biasanya menentukan seni bina.
Layaninya mengikut urutan. Melompat terus ke perbandingan kos ialah cara pasukan berakhir dengan CA terurus dan tiada siapa yang tahu siapa yang mengeluarkan sijil komputer riba seterusnya.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Syarat satu: adakah pendaftaran sudah wujud?
Jika organisasi anda sudah mengendalikan CA dengan laluan pendaftaran peranti yang diluluskan, mengeluarkan sijil klien Client VPN daripadanya ialah laluan terpendek. Kelulusan, proses dan rekod aset sudah ada di sana. Pengeluar subordinat khusus di bawah hierarki itu biasanya lebih baik daripada CA pengeluar tujuan umum, kerana ia memberi VPN sempadan kepercayaan sendiri dan senarai pembatalan sendiri. Simpan senarai itu berasingan daripada seluruh hierarki supaya insiden VPN tidak memaksa perubahan di seluruh PKI.
Jika tiada proses sedemikian, soalan sebenar ialah sama ada anda mahu membinanya. CA mudah dimulakan dan mahal jika dimiliki dengan buruk.
Syarat dua: bolehkah anda mengendalikan kunci tandatangan?
Pengeluar kendiri berfungsi dengan model import yang didokumenkan, dan EasyRSA atau alat dalaman kecil boleh menghasilkan bahannya. Menjalankan arahan bukan bahagian yang sukar. Bahagian yang sukar ialah sandaran luar talian kunci tandatangan, laluan pemulihan yang benar-benar diuji oleh seseorang, pemilik yang tidak bercuti, dan peraturan bahawa kunci itu tidak pernah masuk ke dalam bundel klien atau eksport konfigurasi. Tuliskan itu sebagai prosedur sebelum sijil pertama dikeluarkan, bukan selepas insiden pertama.
AWS Private CA memindahkan penyimpanan itu ke perkhidmatan terurus. Ia tidak memindahkan dasar pendaftaran, langkah kelulusan atau penyampaian sijil kepada peranti.
Syarat tiga: bagaimana pembatalan tiba?
Client VPN menggunakan senarai pembatalan sijil klien yang anda import ke titik akhir, seperti yang diterangkan dalam panduan kitaran hayat sijil. Menerbitkan CRL di tempat lain dalam PKI anda tidak menolaknya masuk ke perkhidmatan. Import ialah operasi berasingan yang dijadualkan, dan senarai yang tamat tempoh menghentikan sambungan dan bukannya merosot secara senyap. Letakkan pembaharuan pada kalendar yang sama dengan sijil itu sendiri.
Itu menjadikan pembaharuan sebagai item pemantauan dengan pemilik, bukan tugas yang selesai semasa pelancaran. Batalkan satu sijil ujian dari awal hingga akhir sebelum anda benar-benar memerlukan mekanismenya.
Apa yang tiada pilihan menghapuskan
Setiap pilihan masih memerlukan satu sijil klien dan kunci berasingan bagi setiap peranti yang diuruskan secara bebas. Tutorial yang mengagihkan satu identiti kepada semua orang ialah jalan pintas tutorial, dan ia juga menjadikan pembatalan terpilih mustahil.
Sijil pelayan yang diimport dalam ACM tiada pembaharuan terurus, jadi pemilik mesti mendapatkan pengganti, mengimportnya semula dan kemudian mengesahkan bahawa titik akhir telah menerimanya. Memperbaharui sijil pelayan tidak memperbaharui kelayakan klien yang sudah berada pada komputer riba. Itu ialah kitaran hayat berasingan dengan kalendar berasingan.
Semak jenis kunci dan sambungan yang diterima oleh perkhidmatan sebelum anda mengeluarkan apa-apa. CA yang menyokong sesuatu algoritma tidak bermakna titik akhir akan menerimanya.
Sebelum pelancaran, jalankan satu pembaharuan dan satu penyingkiran klien melalui aliran kerja yang anda pilih, dan catat kelayakan mana yang berubah, tetapan titik akhir mana yang berubah dan apa yang berlaku kepada sesi aktif. Jika latihan itu berakhir tanpa pemilik yang jelas, pilihan pengeluar belum selesai.