AWS Client VPN: ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਕਿਹੜਾ CA ਜਾਰੀ ਕਰੇ?
ਮੌਜੂਦਾ CA, ਸਵੈ-ਸੰਚਾਲਿਤ ਜਾਰੀਕਰਤਾ ਅਤੇ AWS Private CA ਕੰਮ ਨੂੰ ਵੱਖਰੇ ਤਰੀਕਿਆਂ ਨਾਲ ਵੰਡਦੇ ਹਨ। ਸ਼ੁਰੂ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਤੈਅ ਕਰੋ ਕਿ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਕੌਣ ਮਨਜ਼ੂਰ ਕਰਦਾ ਹੈ, ਨਵੀਨੀਕਰਨ ਕਰਦਾ ਹੈ ਅਤੇ ਰੱਦ ਕਰਦਾ ਹੈ।
AWS Client VPN ਉੱਤੇ ਸਰਟੀਫਿਕੇਟ ਦਾ ਸਵਾਲ ਉਤਪਾਦ ਦੇ ਸਵਾਲ ਵਜੋਂ ਪੁੱਛਿਆ ਜਾਂਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਅਸਲ ਵਿੱਚ ਇਹ ਸੰਚਾਲਨ ਦਾ ਸਵਾਲ ਹੈ। ਆਮ ਤਿੰਨ ਸੈਟਅੱਪਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਕੰਮ ਕਰਦੀ ਟਨਲ ਬਣਾਈ ਰੱਖੇਗਾ: ਮੌਜੂਦਾ ਸੰਗਠਨਾਤਮਕ CA, ਸਮਰਪਿਤ ਸਵੈ-ਸੰਚਾਲਿਤ ਜਾਰੀਕਰਤਾ, ਜਾਂ AWS Private CA। ਇਹ ਇਸ ਗੱਲ ਵਿੱਚ ਵੱਖਰੇ ਹਨ ਕਿ ਡਿਵਾਈਸ ਕੌਣ ਮਨਜ਼ੂਰ ਕਰਦਾ ਹੈ, ਸਾਈਨਿੰਗ ਕੁੰਜੀ ਕਿਸ ਕੋਲ ਰਹਿੰਦੀ ਹੈ, ਅਤੇ ਬੇਢੰਗੇ ਸਮੇਂ ਲੈਪਟਾਪ ਗੁੰਮ ਹੋਣ ਤੇ ਕੌਣ ਜਵਾਬ ਦਿੰਦਾ ਹੈ। ਉਹ ਵਿਕਲਪ ਚੁਣੋ ਜਿਸ ਦੇ ਮਾਲਕ ਦਾ ਨਾਮ ਤੁਸੀਂ ਦੱਸ ਸਕਦੇ ਹੋ।
AWS ਸਰਟੀਫਿਕੇਟ-ਆਧਾਰਿਤ ਪ੍ਰਮਾਣਿਕਤਾ ਲਈ Private CA ਲਾਜ਼ਮੀ ਨਹੀਂ ਕਰਦਾ। ACM ਵਿੱਚ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਰੱਖਣਾ ਤੈਨਾਤੀ ਦਾ ਕਦਮ ਹੈ, ਰਜਿਸਟਰੇਸ਼ਨ ਪ੍ਰਕਿਰਿਆ ਨਹੀਂ।
ਇਹ ਤਿੰਨ ਸ਼ਰਤਾਂ ਤੈਅ ਕਰਦੀਆਂ ਹਨ
ਤਿੰਨ ਸ਼ਰਤਾਂ ਵਿਕਲਪਾਂ ਨੂੰ ਸਾਫ਼ ਵੱਖ ਕਰਦੀਆਂ ਹਨ: ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਡਿਵਾਈਸ-ਰਜਿਸਟਰੇਸ਼ਨ ਪ੍ਰਕਿਰਿਆ ਪਹਿਲਾਂ ਹੀ ਹੈ ਜਾਂ ਨਹੀਂ, ਬੈਕਅੱਪ ਅਤੇ ਨਾਮਿਤ ਮਾਲਕ ਨਾਲ ਸਾਈਨਿੰਗ ਕੁੰਜੀ ਚਲਾ ਸਕਦੇ ਹੋ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਰੱਦ ਕਰਨਾ ਅੰਤਮ ਬਿੰਦੂ ਤੱਕ ਕਿਵੇਂ ਪਹੁੰਚਦਾ ਹੈ। ਹਰ ਇੱਕ ਹਾਂ ਜਾਂ ਨਾਂ ਦੇ ਨੇੜੇ ਹੈ, ਅਤੇ ਪਹਿਲਾ ਨਾਂ ਆਮ ਤੌਰ ਤੇ ਢਾਂਚਾ ਤੈਅ ਕਰ ਦਿੰਦਾ ਹੈ।
ਇਹਨਾਂ ਨੂੰ ਕ੍ਰਮ ਵਿੱਚ ਵੇਖੋ। ਸਿੱਧਾ ਲਾਗਤ ਤੁਲਨਾ ਵੱਲ ਛਾਲ ਮਾਰਨਾ ਹੀ ਉਹ ਤਰੀਕਾ ਹੈ ਜਿਸ ਨਾਲ ਟੀਮਾਂ ਪ੍ਰਬੰਧਿਤ CA ਨਾਲ ਰਹਿ ਜਾਂਦੀਆਂ ਹਨ ਅਤੇ ਕਿਸੇ ਨੂੰ ਨਹੀਂ ਪਤਾ ਕਿ ਅਗਲਾ ਲੈਪਟਾਪ ਸਰਟੀਫਿਕੇਟ ਕੌਣ ਜਾਰੀ ਕਰੇਗਾ।
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
ਪਹਿਲੀ ਸ਼ਰਤ: ਰਜਿਸਟਰੇਸ਼ਨ ਪਹਿਲਾਂ ਹੀ ਹੈ?
ਜੇ ਤੁਹਾਡਾ ਸੰਗਠਨ ਪਹਿਲਾਂ ਹੀ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਡਿਵਾਈਸ-ਰਜਿਸਟਰੇਸ਼ਨ ਰਾਹ ਵਾਲਾ CA ਚਲਾ ਰਿਹਾ ਹੈ, ਤਾਂ ਉੱਥੋਂ Client VPN ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰਨਾ ਸਭ ਤੋਂ ਛੋਟਾ ਰਾਹ ਹੈ। ਮਨਜ਼ੂਰੀਆਂ, ਪ੍ਰਕਿਰਿਆ ਅਤੇ ਸੰਪਤੀ ਰਿਕਾਰਡ ਪਹਿਲਾਂ ਹੀ ਉੱਥੇ ਹਨ। ਉਸ ਲੜੀ ਹੇਠ ਸਮਰਪਿਤ ਅਧੀਨ ਜਾਰੀਕਰਤਾ ਆਮ ਮਕਸਦ ਵਾਲੇ ਜਾਰੀਕਰਤਾ CA ਤੋਂ ਆਮ ਤੌਰ ਤੇ ਬਿਹਤਰ ਹੁੰਦਾ ਹੈ, ਕਿਉਂਕਿ ਇਹ VPN ਨੂੰ ਆਪਣੀ ਭਰੋਸਾ-ਸੀਮਾ ਅਤੇ ਆਪਣੀ ਰੱਦ ਕਰਨ ਵਾਲੀ ਸੂਚੀ ਦਿੰਦਾ ਹੈ। ਉਹ ਸੂਚੀ ਲੜੀ ਦੇ ਬਾਕੀ ਹਿੱਸੇ ਤੋਂ ਵੱਖ ਰੱਖੋ ਤਾਂ ਜੋ ਕੋਈ VPN ਘਟਨਾ ਪੂਰੇ PKI ਵਿੱਚ ਬਦਲਾਅ ਨਾ ਥੋਪੇ।
ਜੇ ਅਜਿਹੀ ਪ੍ਰਕਿਰਿਆ ਨਹੀਂ ਹੈ, ਤਾਂ ਅਸਲ ਸਵਾਲ ਇਹ ਹੈ ਕਿ ਕੀ ਤੁਸੀਂ ਇੱਕ ਬਣਾਉਣਾ ਚਾਹੁੰਦੇ ਹੋ। CA ਸ਼ੁਰੂ ਕਰਨਾ ਸੌਖਾ ਹੈ ਅਤੇ ਮਾੜੀ ਤਰ੍ਹਾਂ ਰੱਖਣਾ ਮਹਿੰਗਾ।
ਦੂਜੀ ਸ਼ਰਤ: ਕੀ ਤੁਸੀਂ ਸਾਈਨਿੰਗ ਕੁੰਜੀ ਚਲਾ ਸਕਦੇ ਹੋ?
ਸਵੈ-ਸੰਚਾਲਿਤ ਜਾਰੀਕਰਤਾ ਦਸਤਾਵੇਜ਼ੀ ਆਯਾਤ ਮਾਡਲ ਨਾਲ ਕੰਮ ਕਰਦਾ ਹੈ, ਅਤੇ EasyRSA ਜਾਂ ਛੋਟਾ ਅੰਦਰੂਨੀ ਸਾਧਨ ਸਮੱਗਰੀ ਬਣਾ ਸਕਦਾ ਹੈ। ਕਮਾਂਡ ਚਲਾਉਣਾ ਔਖਾ ਹਿੱਸਾ ਨਹੀਂ ਹੈ। ਔਖਾ ਹਿੱਸਾ ਸਾਈਨਿੰਗ ਕੁੰਜੀ ਦੇ ਆਫਲਾਈਨ ਬੈਕਅੱਪ, ਕੋਈ ਅਜਿਹਾ ਰਿਕਵਰੀ ਰਾਹ ਜੋ ਕਿਸੇ ਨੇ ਸੱਚਮੁੱਚ ਜਾਂਚਿਆ ਹੋਵੇ, ਛੁੱਟੀ ਤੇ ਨਾ ਹੋਣ ਵਾਲਾ ਮਾਲਕ, ਅਤੇ ਇਹ ਨਿਯਮ ਕਿ ਕੁੰਜੀ ਕਦੇ ਵੀ ਕਲਾਇੰਟ ਬੰਡਲ ਜਾਂ ਕਨਫਿਗਰੇਸ਼ਨ ਨਿਰਯਾਤ ਵਿੱਚ ਨਾ ਪਹੁੰਚੇ। ਪਹਿਲਾ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਇਸ ਨੂੰ ਪ੍ਰਕਿਰਿਆ ਵਜੋਂ ਲਿਖੋ, ਪਹਿਲੀ ਘਟਨਾ ਤੋਂ ਬਾਅਦ ਨਹੀਂ।
AWS Private CA ਉਸ ਸੰਭਾਲ ਨੂੰ ਪ੍ਰਬੰਧਿਤ ਸੇਵਾ ਵਿੱਚ ਲੈ ਜਾਂਦਾ ਹੈ। ਇਹ ਰਜਿਸਟਰੇਸ਼ਨ ਨੀਤੀ, ਮਨਜ਼ੂਰੀ ਦਾ ਕਦਮ ਜਾਂ ਡਿਵਾਈਸ ਤੱਕ ਸਰਟੀਫਿਕੇਟ ਦੀ ਡਿਲੀਵਰੀ ਨਹੀਂ ਲੈ ਜਾਂਦਾ।
ਤੀਜੀ ਸ਼ਰਤ: ਰੱਦ ਕਰਨਾ ਕਿਵੇਂ ਆਉਂਦਾ ਹੈ?
Client VPN ਉਹ ਕਲਾਇੰਟ-ਸਰਟੀਫਿਕੇਟ ਰੱਦ ਕਰਨ ਵਾਲੀ ਸੂਚੀ ਵਰਤਦਾ ਹੈ ਜੋ ਤੁਸੀਂ ਅੰਤਮ ਬਿੰਦੂ ਵਿੱਚ ਆਯਾਤ ਕਰਦੇ ਹੋ, ਜਿਵੇਂ ਸਰਟੀਫਿਕੇਟ ਜੀਵਨ-ਚੱਕਰ ਗਾਈਡ ਵਿੱਚ ਦੱਸਿਆ ਗਿਆ ਹੈ। ਤੁਹਾਡੇ PKI ਵਿੱਚ ਕਿਤੇ ਹੋਰ CRL ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨਾ ਇਸ ਨੂੰ ਸੇਵਾ ਵਿੱਚ ਨਹੀਂ ਧੱਕਦਾ। ਆਯਾਤ ਇੱਕ ਵੱਖਰੀ, ਨਿਯਤ ਕਾਰਵਾਈ ਹੈ, ਅਤੇ ਮਿਆਦ ਪੁੱਗੀ ਸੂਚੀ ਚੁੱਪਚਾਪ ਕਮਜ਼ੋਰ ਹੋਣ ਦੀ ਥਾਂ ਕਨੈਕਸ਼ਨ ਰੋਕ ਦਿੰਦੀ ਹੈ। ਨਵੀਨੀਕਰਨ ਨੂੰ ਸਰਟੀਫਿਕੇਟਾਂ ਦੇ ਉਸੇ ਕੈਲੰਡਰ ਤੇ ਰੱਖੋ।
ਇਸ ਨਾਲ ਨਵੀਨੀਕਰਨ ਮਾਲਕ ਵਾਲਾ ਨਿਗਰਾਨੀ ਆਈਟਮ ਬਣ ਜਾਂਦਾ ਹੈ, ਲਾਂਚ ਤੇ ਖ਼ਤਮ ਹੋਣ ਵਾਲਾ ਕੰਮ ਨਹੀਂ। ਵਿਧੀ ਦੀ ਸੱਚਮੁੱਚ ਲੋੜ ਪੈਣ ਤੋਂ ਪਹਿਲਾਂ ਇੱਕ ਟੈਸਟ ਸਰਟੀਫਿਕੇਟ ਸ਼ੁਰੂ ਤੋਂ ਅੰਤ ਤੱਕ ਰੱਦ ਕਰੋ।
ਕੋਈ ਵੀ ਵਿਕਲਪ ਜੋ ਨਹੀਂ ਹਟਾਉਂਦਾ
ਹਰ ਵਿਕਲਪ ਨੂੰ ਅਜੇ ਵੀ ਹਰ ਸੁਤੰਤਰ ਤੌਰ ਤੇ ਪ੍ਰਬੰਧਿਤ ਡਿਵਾਈਸ ਲਈ ਵੱਖਰਾ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਕੁੰਜੀ ਦੀ ਲੋੜ ਹੈ। ਜੋ ਟਿਊਟੋਰਿਅਲ ਸਾਰਿਆਂ ਨੂੰ ਇੱਕੋ ਪਛਾਣ ਦਿੰਦਾ ਹੈ ਉਹ ਟਿਊਟੋਰਿਅਲ ਦਾ ਸ਼ਾਰਟਕੱਟ ਹੈ, ਅਤੇ ਇਹ ਚੋਣਵੇਂ ਰੱਦ ਕਰਨ ਨੂੰ ਵੀ ਅਸੰਭਵ ਬਣਾ ਦਿੰਦਾ ਹੈ।
ACM ਵਿੱਚ ਆਯਾਤ ਕੀਤੇ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟਾਂ ਲਈ ਪ੍ਰਬੰਧਿਤ ਨਵੀਨੀਕਰਨ ਨਹੀਂ ਹੈ, ਇਸ ਲਈ ਮਾਲਕ ਨੂੰ ਬਦਲ ਲੈਣਾ, ਦੁਬਾਰਾ ਆਯਾਤ ਕਰਨਾ ਅਤੇ ਫਿਰ ਪੁਸ਼ਟੀ ਕਰਨੀ ਪੈਂਦੀ ਹੈ ਕਿ ਅੰਤਮ ਬਿੰਦੂ ਨੇ ਇਸ ਨੂੰ ਅਪਣਾਇਆ ਹੈ। ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਦਾ ਨਵੀਨੀਕਰਨ ਲੈਪਟਾਪਾਂ ਤੇ ਪਹਿਲਾਂ ਹੀ ਮੌਜੂਦ ਕਲਾਇੰਟ ਪ੍ਰਮਾਣ-ਪੱਤਰਾਂ ਦਾ ਨਵੀਨੀਕਰਨ ਨਹੀਂ ਕਰਦਾ। ਇਹ ਵੱਖਰੇ ਕੈਲੰਡਰਾਂ ਵਾਲੇ ਵੱਖਰੇ ਜੀਵਨ-ਚੱਕਰ ਹਨ।
ਕੁਝ ਵੀ ਜਾਰੀ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂਚੋ ਕਿ ਸੇਵਾ ਕਿਹੜੀਆਂ ਕੁੰਜੀ ਕਿਸਮਾਂ ਅਤੇ ਐਕਸਟੈਂਸ਼ਨ ਸਵੀਕਾਰ ਕਰਦੀ ਹੈ। CA ਦਾ ਕੋਈ ਐਲਗੋਰਿਦਮ ਸਮਰਥਨ ਕਰਨਾ ਇਹ ਨਹੀਂ ਦਰਸਾਉਂਦਾ ਕਿ ਅੰਤਮ ਬਿੰਦੂ ਇਸ ਨੂੰ ਸਵੀਕਾਰ ਕਰੇਗਾ।
ਲਾਂਚ ਤੋਂ ਪਹਿਲਾਂ ਆਪਣੇ ਚੁਣੇ ਹੋਏ ਵਰਕਫਲੋ ਰਾਹੀਂ ਇੱਕ ਨਵੀਨੀਕਰਨ ਅਤੇ ਇੱਕ ਕਲਾਇੰਟ ਹਟਾਉਣਾ ਚਲਾਓ, ਅਤੇ ਲਿਖੋ ਕਿ ਕਿਹੜਾ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਬਦਲਿਆ, ਕਿਹੜੀ ਅੰਤਮ ਬਿੰਦੂ ਸੈਟਿੰਗ ਬਦਲੀ ਅਤੇ ਸਰਗਰਮ ਸੈਸ਼ਨ ਨਾਲ ਕੀ ਹੋਇਆ। ਜੇ ਉਹ ਅਭਿਆਸ ਸਪਸ਼ਟ ਮਾਲਕ ਤੋਂ ਬਿਨਾਂ ਖ਼ਤਮ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਜਾਰੀਕਰਤਾ ਦੀ ਚੋਣ ਪੂਰੀ ਨਹੀਂ ਹੋਈ।