AWS Client VPN: cila CA duhet të lëshojë certifikatat e klientit?

Pyetja për certifikatat te AWS Client VPN bëhet si pyetje produkti, ndërsa në të vërtetë është pyetje operacioni. Secila nga tre konfigurimet e zakonshme do të mbajë një tunel funksional: një CA organizative ekzistuese, një lëshues vetjak i dedikuar ose AWS Private CA. Ato ndryshojnë në atë se kush miraton një pajisje, kush mban çelësin e nënshkrimit dhe kush përgjigjet kur një laptop humbet në një orë të papërshtatshme. Zgjidhni opsionin, pronarin e të cilit mund ta përmendni.

AWS nuk kërkon Private CA për vërtetim me certifikata. Vendosja e një certifikate serveri në ACM është hap vendosjeje, jo proces regjistrimi.

Tre kushtet që e vendosin

Tre kushte i ndajnë qartë opsionet: nëse ekziston tashmë një proces i miratuar regjistrimi pajisjesh, nëse mund të operoni një çelës nënshkrimi me kopje rezervë dhe një pronar të caktuar, dhe si arrin një revokim në pikën fundore. Secili është afër një po ose jo, dhe jo-ja e parë zakonisht vendos arkitekturën.

Përpunojini sipas radhës. Kërcimi direkt në krahasimin e kostove është mënyra se si ekipet mbeten me një CA të menaxhuar dhe askush nuk e di se kush lëshon certifikatën e ardhshme të laptopit.

Kushti i parë: a ekziston regjistrimi?

Nëse organizata juaj tashmë operon një CA me një rrugë të miratuar regjistrimi pajisjesh, lëshimi prej saj i certifikatave të klientit për Client VPN është rruga më e shkurtër. Miratimet, procesi dhe regjistrat e aseteve janë tashmë atje. Një lëshues i varur i dedikuar nën atë hierarki është zakonisht më i mirë se CA lëshuese e përgjithshme, sepse i jep VPN-së kufirin e vet të besimit dhe listën e vet të revokimit. Mbajeni atë listë të ndarë nga pjesa tjetër e hierarkisë, që një incident VPN të mos imponojë një ndryshim në të gjithë PKI-në.

Nëse një proces i tillë nuk ekziston, pyetja e vërtetë është nëse doni të ndërtoni një. Një CA fillohet lehtë dhe posedohet shtrenjtë kur bëhet keq.

Kushti i dytë: a mund të operoni një çelës nënshkrimi?

Një lëshues vetjak punon me modelin e dokumentuar të importit, dhe EasyRSA ose një mjet i vogël i brendshëm mund të prodhojë materialin. Ekzekutimi i komandës nuk është pjesa e vështirë. Pjesa e vështirë janë kopjet rezervë jashtë linje të çelësit të nënshkrimit, një rrugë rikuperimi që dikush e ka testuar vërtet, një pronar që nuk është me pushime dhe një rregull që çelësi nuk përfundon kurrë në një paketë klienti ose në një eksport konfigurimi. Shkruajeni këtë si procedurë përpara lëshimit të certifikatës së parë, jo pas incidentit të parë.

AWS Private CA e zhvendos atë ruajtje në një shërbim të menaxhuar. Nuk zhvendos politikën e regjistrimit, hapin e miratimit ose dorëzimin e certifikatës te pajisja.

Kushti i tretë: si vjen revokimi?

Client VPN konsumon një listë revokimi të certifikatave të klientit që ju importoni në pikën fundore, siç përshkruhet në udhëzuesin e ciklit të jetës së certifikatës. Publikimi i një CRL diku tjetër në PKI-në tuaj nuk e shtyn atë në shërbim. Importi është një operacion i veçantë dhe i planifikuar, dhe një listë e skaduar ndal lidhjet në vend që të përkeqësohet në heshtje. Vendoseni rinovimin në të njëjtin kalendar si vetë certifikatat.

Kjo e bën rinovimin një zë monitorimi me pronar, jo një detyrë që mbaron në lançim. Revokoni një certifikatë prove nga fillimi në fund përpara se ta keni vërtet nevojë për mekanizmin.

Çka nuk heq asnjë opsion

Çdo opsion ende kërkon një certifikatë dhe çelës klienti të veçantë për çdo pajisje të menaxhuar në mënyrë të pavarur. Një tutorial që shpërndan një identitet të vetëm për të gjithë është një shkurtore tutoriali, dhe e bën të pamundur edhe revokimin selektiv.

Certifikatat e serverit të importuara në ACM nuk kanë rinovim të menaxhuar, kështu që pronari duhet të sigurojë zëvendësimin, ta importojë përsëri dhe pastaj të konfirmojë se pika fundore e ka adoptuar. Rinovimi i certifikatës së serverit nuk rinovon kredencialet e klientit që janë tashmë në laptopë. Këto janë cikle jete të ndara me kalendarë të ndarë.

Kontrolloni llojet e çelësave dhe shtesat që shërbimi pranon përpara se të lëshoni çdo gjë. Fakti që një CA mbështet një algoritëm nuk do të thotë që pika fundore do ta pranojë atë.

Përpara lançimit, kryeni një rinovim dhe një heqje klienti përmes rrjedhës së punës që zgjodhët, dhe shkruani cila kredencial ndryshoi, cila cilësim i pikës fundore ndryshoi dhe çfarë ndodhi me sesionin aktiv. Nëse ai ushtrim përfundon pa një pronar të qartë, zgjedhja e lëshuesit nuk ka përfunduar.