AWS Client VPN: liema CA għandha toħroġ iċ-ċertifikati tal-klijent?
CA eżistenti, emittent awtoġestit u AWS Private CA jaqsmu x-xogħol b’mod differenti. Iddeċiedi min japprova, iġġedded u jirrevoka ċ-ċertifikati tal-klijent qabel it-tnedija.
Il-kwistjoni taċ-ċertifikati fuq AWS Client VPN tiġi mistoqsija bħala kwistjoni ta’ prodott, filwaqt li fil-verità hija kwistjoni ta’ operat. Kull waħda mit-tliet konfigurazzjonijiet tas-soltu żżomm tunnel li jaħdem: CA organizzattiva eżistenti, emittent awtoġestit iddedikat, jew AWS Private CA. Huma differenti f’min japprova apparat, min iżomm iċ-ċavetta tal-firem u min iwieġeb meta laptop jinqered f’siegħa mhux addattata. Agħżel l-għażla li s-sid tagħha tista’ ssemmih.
AWS ma teħtieġx Private CA għall-awtentikazzjoni b’ċertifikati. It-tqegħid ta’ ċertifikat tas-server f’ACM huwa pass ta’ implimentazzjoni, mhux proċess ta’ reġistrazzjoni.
It-tliet kundizzjonijiet li jiddeċiedu
Tliet kundizzjonijiet jifirdu l-għażliet b’mod ċar: jekk diġà jeżistix proċess approvat ta’ reġistrazzjoni tal-apparati, jekk tistax tħaddem ċavetta tal-firem b’backups u sid imsemmi, u kif revoka tasal sal-punt tat-tmiem. Kull waħda hija qrib iva jew le, u l-ewwel le ġeneralment tiddeċiedi l-arkitettura.
Aħdem magħhom fl-ordni. Il-qabża diretta għal tqabbil tal-ispejjeż hija kif it-timijiet jispiċċaw b’CA ġestita u ħadd ma jaf min se joħroġ iċ-ċertifikat tal-laptop li jmiss.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
L-ewwel kundizzjoni: ir-reġistrazzjoni diġà teżisti?
Jekk l-organizzazzjoni tiegħek diġà tħaddem CA b’moggħdija approvata ta’ reġistrazzjoni tal-apparati, l-ħruġ taċ-ċertifikati tal-klijent ta’ Client VPN minnha hija l-iqsar rotta. L-approvazzjonijiet, il-proċess u r-rekords tal-assi diġà hemm. Emittent subordinat iddedikat taħt dik il-ġerarkija ġeneralment aħjar mill-CA emittenti għal skop ġenerali, għax jagħti lill-VPN il-fruntiera tal-fiduċja tiegħu stess u l-lista tar-revoka tiegħu stess. Żomm dik il-lista separata mill-bqija tal-ġerarkija sabiex inċident tal-VPN ma jġieġħx bidla fil-PKI kollu.
Jekk proċess bħal dan ma jeżistix, il-mistoqsija vera hija jekk tridx tibni wieħed. CA hija faċli tibda u għalja jekk tippossediha ħażin.
It-tieni kundizzjoni: tista’ tħaddem ċavetta tal-firem?
Emittent awtoġestit jaħdem bl-mudell tal-importazzjoni dokumentat, u EasyRSA jew għodda interna żgħira tista’ tipproduċi l-materjal. L-eżekuzzjoni tal-kmand mhijiex il-parti diffiċli. Il-parti diffiċli huma backups offline taċ-ċavetta tal-firem, mogħdija ta’ rkupru li xi ħadd verament ittestja, sid li mhuwiex bil-leave, u regola li ċ-ċavetta qatt ma tispiċċa f’bundle tal-klijent jew f’esportazzjoni tal-konfigurazzjoni. Ikteb dan bħala proċedura qabel ma jinħareġ l-ewwel ċertifikat, mhux wara l-ewwel inċident.
AWS Private CA jċaqlaq dik il-kustodja għal servizz ġestit. Ma jċaqlaqx il-politika tar-reġistrazzjoni, il-pass tal-approvazzjoni jew il-kunsinna taċ-ċertifikat lill-apparat.
It-tielet kundizzjoni: kif tasal ir-revoka?
Client VPN jikkonsma lista tar-revoka taċ-ċertifikati tal-klijent li timporta fil-punt tat-tmiem, kif deskritt fil-gwida taċ-ċiklu tal-ħajja taċ-ċertifikat. Il-pubblikazzjoni ta’ CRL x’imkien ieħor fil-PKI tiegħek ma timbuttahx fis-servizz. L-importazzjoni hija operazzjoni separata u skedata, u lista skaduta twaqqaf il-konnessjonijiet minflok ma tmur għall-agħar bil-kwiet. Qiegħed it-tiġdid fuq l-istess kalendarju bħaċ-ċertifikati stess.
Dan jagħmel it-tiġdid element ta’ monitoraġġ b’sid, mhux kompitu li tispiċċa fit-tnedija. Irrevoka ċertifikat tat-test wieħed mill-bidu sat-tmiem qabel ma tkun verament teħtieġ il-mekkaniżmu.
X’ma jneħħi l-ebda għażla
Kull għażla xorta teħtieġ ċertifikat u ċavetta tal-klijent distinti għal kull apparat ġestit b’mod indipendenti. Tutorial li jqassam identità waħda lil kulħadd huwa shortcut tat-tutorial, u jagħmel ir-revoka selettiva impossibbli wkoll.
Iċ-ċertifikati tas-server importati f’ACM m’għandhomx tiġdid ġestit, għalhekk is-sid irid jikseb is-sostitut, jimportah mill-ġdid u mbagħad jikkonferma li l-punt tat-tmiem adottah. It-tiġdid taċ-ċertifikat tas-server ma jġeddidx il-kredenzjali tal-klijent li diġà jinsabu fuq il-laptops. Dawn huma ċikli tal-ħajja separati b’kalendarji separati.
Iċċekkja t-tipi ta’ ċwievet u l-estensjonijiet li s-servizz jaċċetta qabel ma toħroġ xejn. Li CA tappoġġja algoritmu ma jfissirx li l-punt tat-tmiem se jaċċettah.
Qabel it-tnedija, għaddi tiġdid wieħed u tneħħija ta’ klijent wieħed mill-fluss tax-xogħol li għażilt, u ikteb liema kredenzjali nbidlu, liema settings tal-punt tat-tmiem nbidlu u x’ġara mis-sessjoni attiva. Jekk dak l-eżerċizzju jispiċċa mingħajr sid ċar, l-għażla tal-emittent mhijiex kompluta.