AWS Client VPN: kva CA bør utstede klientsertifikat?
Ein eksisterande CA, ein sjølvdriven utstedar og AWS Private CA fordeler arbeidet ulikt. Avgjer kven som godkjenner, fornyar og tilbakekallar klientsertifikat før lansering.
Sertifikatspørsmålet på AWS Client VPN blir stilt som eit produktspørsmål, og det er eigentleg eit driftsmessig spørsmål. Kva som helst av dei tre vanlege oppsetta vil halde ein fungerande tunnel i gang: ein eksisterande organisatorisk CA, ein dedikert sjølvdriven utstedar eller AWS Private CA. Dei skil seg i kven som godkjenner eit apparat, kven som held signeringsnøkkelen, og kven som svarar når ein berbar PC forsvinn på eit uheldig tidspunkt. Vel alternativet der du kan namngje eigaren.
AWS krev ikkje Private CA for sertifikatbasert autentisering. Å plassere eit serversertifikat i ACM er eit utrullingstrinn, ikkje ein registreringsprosess.
Dei tre vilkåra som avgjer
Tre vilkår skil alternativa reint: om det alt finst ein godkjend apparatregistrering, om du kan drifte ein signeringsnøkkel med tryggleikskopiar og ein namngjeven eigar, og korleis ei tilbakekalling når endepunktet. Kvart ligg nær eit ja eller nei, og det første neiet avgjer vanlegvis arkitekturen.
Ta dei i rekkjefølgje. Å hoppe rett til ein kostnadssamanlikning er korleis team endar med ein administrert CA og ingen som veit kven som utstedar det neste laptop-sertifikatet.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Vilkår éin: finst registreringa alt?
Viss organisasjonen din alt driv ein CA med ein godkjend veg for apparatregistrering, er utsteding av klientsertifikat for Client VPN derfrå den kortaste vegen. Godkjenningane, prosessen og aktivregistera er alt der. Ein dedikert underordna utstedar under den hierarkiet er vanlegvis betre enn den generelle utstedande CA, fordi han gjev VPN-en si eiga tillitsgrense og si eiga tilbakekallingsliste. Hald den lista skild frå resten av hierarkiet slik at ei VPN-hending ikkje tvingar fram ei endring i heile PKI-et.
Finst ikkje ein slik prosess, er det eigentlege spørsmålet om de vil byggje ein. Ein CA er lett å starte og dyrt å eige dårleg.
Vilkår to: kan de drifte ein signeringsnøkkel?
Ein sjølvdriven utstedar fungerer med den dokumenterte importmodellen, og EasyRSA eller eit lite internt verktøy kan produsere materialet. Å køyre kommandoen er ikkje den vanskelege delen. Den vanskelege delen er offline tryggleikskopiar av signeringsnøkkelen, ein gjenopprettingsveg nokon faktisk har testa, ein eigar som ikkje er på ferie, og ein regel om at nøkkelen aldri hamnar i ein klientpakke eller ein konfigurasjonseksport. Skriv det ned som ein prosedyre før det første sertifikatet blir utstedt, ikkje etter den første hendinga.
AWS Private CA flyttar den oppbevaringa til ein administrert teneste. Det flyttar ikkje registreringspolicyn, godkjenningstrinnet eller leveringa av sertifikatet til eininga.
Vilkår tre: korleis kjem tilbakekallinga fram?
Client VPN brukar ei tilbakekallingsliste for klientsertifikat som de importerer til endepunktet, slik det er skildra i rettleiinga for sertifikatet sin livssyklus. Å publisere ein CRL andre stader i PKI-et dykkar skyv han ikkje inn i tenesta. Importen er ein separat, planlagd operasjon, og ei utløpt liste stoppar tilkoplingar i staden for å bli gradvis verre. Legg fornyinga på same kalender som sertifikata sjølve.
Det gjer fornying til eit overvakingselement med ein eigar, ikkje ei oppgåve de fullfører ved lansering. Tilbakekall eitt testsertifikat frå ende til annan før de verkeleg treng mekanismen.
Kva ingen av alternativa fjernar
Kvart alternativ krev framleis eitt eige klientsertifikat og ein eigen nøkkel per uavhengig administrert eining. Ei rettleiing som deler ut éin identitet til alle, er ein snøggveg i rettleiinga, og ho gjer også selektiv tilbakekalling umogeleg.
Importerte serversertifikat i ACM har inga administrert fornying, så eigaren må skaffe erstatninga, importere ho på nytt og deretter stadfeste at endepunktet har teke ho i bruk. Å fornye serversertifikatet fornyar ikkje klientopplysningane som alt ligg på berbare PC-ar. Det er separate livssyklusar med separate kalendrar.
Sjekk nøkkeltypane og utvidingane tenesta godtek før de utstedar noko. At ein CA støttar ein algoritme tyder ikkje at endepunktet godtek han.
Før lansering, køyr éi fornying og éi fjerning av ein klient gjennom arbeidsflyten de valde, og skriv ned kva legitimasjon som endra seg, kva endepunktinnstilling som endra seg og kva som skjedde med den aktive økta. Viss øvinga endar utan ein klar eigar, er valet av utstedar ikkje ferdig.