AWS Client VPN: CA gani inapaswa kutoa vyeti vya mteja?
CA iliyopo, mtoaji anayejitegemea na AWS Private CA hugawanya kazi kwa njia tofauti. Amua nani anaidhinisha, anahuisha na anafuta vyeti vya mteja kabla ya kuzindua.
Swali la vyeti kwenye AWS Client VPN huulizwa kama swali la bidhaa, wakati kwa kweli ni swali la uendeshaji. Yoyote kati ya mipangilio mitatu ya kawaida itaendelea kuweka handaki inayofanya kazi: CA ya shirika iliyopo, mtoaji anayejitegemea aliyejitolea, au AWS Private CA. Zinatofautiana kwa nani anaidhinisha kifaa, nani anashikilia ufunguo wa kusaini, na nani anajibu wakati kompyuta mpakato inapotea saa isiyofaa. Chagua chaguo ambalo mmiliki wake unaweza kumtaja.
AWS haihitaji Private CA kwa uthibitishaji wa vyeti. Kuweka cheti cha seva katika ACM ni hatua ya usambazaji, si mchakato wa usajili.
Masharti matatu yanayoamua
Masharti matatu hutenganisha chaguo kwa uwazi: ikiwa mchakato ulioidhinishwa wa usajili wa vifaa tayari upo, ikiwa unaweza kuendesha ufunguo wa kusaini pamoja na nakala rudufu na mmiliki aliyetajwa, na jinsi ufutaji unavyofika hadi kwenye kituo cha mwisho. Kila moja iko karibu na ndiyo au hapana, na hapana ya kwanza kwa kawaida huamua usanifu.
Zishughulikie kwa mpangilio. Kuruka moja kwa moja kwenye kulinganisha gharama ni jinsi timu huishia na CA inayosimamiwa na hakuna anayejua nani atatoa cheti cha kompyuta mpakato kinachofuata.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Sharti la kwanza: usajili tayari upo?
Ikiwa shirika lako tayari linaendesha CA yenye njia iliyoidhinishwa ya usajili wa vifaa, kutoa vyeti vya mteja vya Client VPN kutoka hapo ni njia fupi zaidi. Idhini, mchakato na kumbukumbu za mali tayari zipo. Mtoaji msaidizi aliyejitolea chini ya ngazi hiyo kwa kawaida ni bora kuliko CA inayotoa ya madhumuni ya jumla, kwa sababu inampa VPN mipaka yake ya uaminifu na orodha yake ya ufutaji. Weka orodha hiyo kando na sehemu nyingine ya ngazi ili tukio la VPN lisilazimishe mabadiliko kwenye PKI yote.
Ikiwa mchakato kama huo haupo, swali la kweli ni ikiwa unataka kujenga mmoja. CA ni rahisi kuanza na ni ghali kumiliki vibaya.
Sharti la pili: unaweza kuendesha ufunguo wa kusaini?
Mtoaji anayejitegemea hufanya kazi na modeli iliyoandikwa ya uingizaji, na EasyRSA au kifaa kidogo cha ndani kinaweza kuzalisha nyenzo. Kuendesha amri si sehemu ngumu. Sehemu ngumu ni nakala rudufu za nje ya mtandao za ufunguo wa kusaini, njia ya urejeshaji ambayo mtu ameijaribu kwa kweli, mmiliki ambaye hayumo likizo, na kanuni kwamba ufunguo hauingii kamwe kwenye kifurushi cha mteja au uhamishaji wa usanidi. Andika hilo kama utaratibu kabla ya cheti cha kwanza kutolewa, si baada ya tukio la kwanza.
AWS Private CA huhamisha ulinzi huo kwenye huduma inayosimamiwa. Haihamishi sera ya usajili, hatua ya idhini, au uwasilishaji wa cheti kwenye kifaa.
Sharti la tatu: ufutaji unakuja vipi?
Client VPN hutumia orodha ya ufutaji wa vyeti vya mteja ambayo unaiingiza kwenye kituo cha mwisho, kama ilivyoelezwa katika mwongozo wa mzunguko wa maisha ya cheti. Kuchapisha CRL mahali pengine kwenye PKI yako hakuipushi kwenye huduma. Uingizaji ni operesheni tofauti iliyopangwa, na orodha iliyoisha muda huacha miunganisho badala ya kudhoofika kimya. Weka uhuishaji kwenye kalenda sawa na vyeti vyenyewe.
Hilo hufanya uhuishaji kuwa kipengele cha ufuatiliaji chenye mmiliki, si kazi inayokamilika wakati wa kuzindua. Futa cheti kimoja cha jaribio kutoka mwanzo hadi mwisho kabla ya kuhitaji utaratibu kwa dhati.
Kile ambacho hakuna chaguo huondoa
Kila chaguo bado linahitaji cheti cha mteja na ufunguo tofauti kwa kila kifaa kinachosimamiwa kwa uhuru. Mafunzo yanayogawanya utambulisho mmoja kwa kila mtu ni njia ya mkato ya mafunzo, na pia hufanya ufutaji wa kuchagua usiwezekane.
Vyeti vya seva vilivyoingizwa katika ACM havina uhuishaji unaosimamiwa, kwa hivyo mmiliki lazima apate kibadala, kiingize tena, kisha athibitishe kuwa kituo cha mwisho kimekikubali. Kuhuisha cheti cha seva hakuhuishi vitambulisho vya mteja ambavyo tayari viko kwenye kompyuta mpakato. Hizo ni mizunguko tofauti ya maisha na kalenda tofauti.
Angalia aina za funguo na viendelezi ambavyo huduma inakubali kabla ya kutoa chochote. Kuwa CA inaunga mkono algoriti hakumaanishi kituo cha mwisho kitakikubali.
Kabla ya kuzindua, endesha uhuishaji mmoja na uondoaji mmoja wa mteja kupitia mtiririko wa kazi uliochagua, na andika ni kitambulisho kipi kilibadilika, ni mpangilio upi wa kituo cha mwisho ulibadilika na nini kilitokea kwa kikao kinachotumika. Ikiwa zoezi hilo linaisha bila mmiliki wazi, uchaguzi wa mtoaji haujakamilika.