AWS Client VPN: ktorá CA má vydávať klientske certifikáty?
Existujúca CA, vlastný vydavateľ a AWS Private CA si prácu delia inak. Rozhodnite, kto schvaľuje, obnovuje a odvoláva klientske certifikáty pred spustením.
Otázka certifikátov pri AWS Client VPN sa kladie ako otázka produktu, ale v skutočnosti je to otázka prevádzky. Každé z troch bežných riešení udrží funkčný tunel: existujúca organizačná CA, vyhradený vlastný vydavateľ alebo AWS Private CA. Líšia sa tým, kto schvaľuje zariadenie, kto drží podpisový kľúč a kto odpovedá, keď sa notebook stratí v nevhodnú hodinu. Vyberte možnosť, ktorej vlastníka dokážete pomenovať.
AWS na overovanie certifikátmi Private CA nevyžaduje. Umiestnenie serverového certifikátu do ACM je krok nasadenia, nie proces registrácie.
Tri podmienky, ktoré to rozhodnú
Tri podmienky možnosti jasne oddeľujú: či už existuje schválený proces registrácie zariadení, či dokážete prevádzkovať podpisový kľúč so zálohami a menovaným vlastníkom, a ako sa odvolanie dostane ku koncovému bodu. Každá je blízko áno alebo nie a prvé nie zvyčajne rozhodne architektúru.
Prejdite ich po poriadku. Skok rovno na porovnanie nákladov je spôsob, akým tímy skončia s riadenou CA a nikým, kto vie, kto vydá ďalší certifikát pre notebook.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Podmienka prvá: existuje registrácia už teraz?
Ak vaša organizácia už prevádzkuje CA so schválenou cestou registrácie zariadení, vydávanie klientskych certifikátov Client VPN z nej je najkratšia cesta. Schválenia, proces aj evidencia aktív už tam sú. Vyhradený podriadený vydavateľ v tejto hierarchii je zvyčajne lepší než CA na všeobecné použitie, pretože dáva VPN vlastnú hranicu dôvery a vlastný zoznam odvolaní. Udržujte tento zoznam oddelený od zvyšku hierarchie, aby incident VPN nevynútil zmenu v celej PKI.
Ak taký proces neexistuje, skutočná otázka je, či ho chcete postaviť. CA sa ľahko začína a draho sa zle vlastní.
Podmienka druhá: dokážete prevádzkovať podpisový kľúč?
Vlastný vydavateľ funguje s dokumentovaným modelom importu a EasyRSA alebo malý interný nástroj môže materiál vytvoriť. Spustenie príkazu nie je tá ťažká časť. Ťažká časť sú offline zálohy podpisového kľúča, cesta obnovy, ktorú niekto skutočne otestoval, vlastník, ktorý nie je na dovolenke, a pravidlo, že kľúč nikdy neskončí v klientskom balíku ani v exporte konfigurácie. Zapíšte to ako postup pred vydaním prvého certifikátu, nie po prvom incidente.
AWS Private CA presúva toto držanie do spravovanej služby. Nepresúva politiku registrácie, krok schválenia ani doručenie certifikátu do zariadenia.
Podmienka tretia: ako prichádza odvolanie?
Client VPN spotrebúva zoznam odvolaných klientskych certifikátov, ktorý importujete do koncového bodu, ako opisuje príručka životného cyklu certifikátu. Publikovanie CRL inde vo vašej PKI ho do služby nepretlačí. Import je samostatná, plánovaná operácia a exspirovaný zoznam zastaví spojenia namiesto tichého zhoršovania. Dajte obnovu do rovnakého kalendára ako samotné certifikáty.
Tým sa z obnovy stáva položka monitorovania s vlastníkom, nie úloha, ktorú dokončíte pri spustení. Odvolajte jeden testovací certifikát od začiatku do konca, kým mechanizmus budete naozaj potrebovať.
Čo žiadna z možností neodstráni
Každá možnosť stále potrebuje jeden samostatný klientsky certifikát a kľúč pre každé nezávisle spravované zariadenie. Návod, ktorý rozdá jednu identitu všetkým, je skratka v návode a takisto znemožňuje selektívne odvolanie.
Importované serverové certifikáty v ACM nemajú spravovanú obnovu, takže vlastník musí získať náhradu, znovu ju importovať a potom potvrdiť, že ju koncový bod prevzal. Obnova serverového certifikátu neobnovuje klientske prihlasovacie údaje, ktoré už sú na notebookoch. To sú oddelené životné cykly s oddelenými kalendármi.
Pred vydaním čohokoľvek skontrolujte typy kľúčov a rozšírenia, ktoré služba prijíma. To, že CA podporuje algoritmus, neznamená, že ho koncový bod prijme.
Pred spustením vykonajte jedno obnovenie a jedno odstránenie klienta zvoleným pracovným postupom a zapíšte, ktoré prihlasovacie údaje sa zmenili, ktoré nastavenie koncového bodu sa zmenilo a čo sa stalo s aktívnou reláciou. Ak to cvičenie skončí bez jasného vlastníka, voľba vydavateľa nie je hotová.