AWS Client VPN: கிளையண்ட் சான்றிதழ்களை எந்த CA வழங்க வேண்டும்?
ஏற்கனவே உள்ள CA, சுய-நிர்வாக வெளியீட்டாளர் மற்றும் AWS Private CA ஆகியவை வேலையை வெவ்வேறு விதமாகப் பங்கிடுகின்றன. தொடங்குவதற்கு முன் கிளையண்ட் சான்றிதழ்களை யார் அங்கீகரிக்கிறார், புதுப்பிக்கிறார், ரத்து செய்கிறார் என்பதை முடிவு செய்யுங்கள்.
AWS Client VPN-இல் சான்றிதழ் கேள்வி தயாரிப்பு கேள்வியாகக் கேட்கப்படுகிறது, ஆனால் உண்மையில் அது செயல்பாட்டுக் கேள்வி. வழக்கமான மூன்று அமைப்புகளில் எதுவும் செயல்படும் சுரங்கப்பாதையைத் தக்கவைக்கும்: ஏற்கனவே உள்ள நிறுவன CA, தனிப்பட்ட சுய-நிர்வாக வெளியீட்டாளர், அல்லது AWS Private CA. அவை சாதனத்தை யார் அங்கீகரிக்கிறார், கையொப்ப விசை யாரிடம் உள்ளது, மற்றும் சங்கடமான நேரத்தில் மடிக்கணினி காணாமல் போகும்போது யார் பதிலளிக்கிறார் என்பதில் வேறுபடுகின்றன. உரிமையாளரை நீங்கள் பெயரிடக்கூடிய விருப்பத்தைத் தேர்ந்தெடுங்கள்.
சான்றிதழ் அங்கீகாரத்திற்கு AWS Private CA கட்டாயப்படுத்துவதில்லை. ACM-இல் சேவையகச் சான்றிதழை வைப்பது வரிசைப்படுத்தல் படி, பதிவுசெய்தல் செயல்முறை அல்ல.
அதைத் தீர்மானிக்கும் மூன்று நிபந்தனைகள்
மூன்று நிபந்தனைகள் விருப்பங்களைத் தெளிவாகப் பிரிக்கின்றன: அங்கீகரிக்கப்பட்ட சாதனப் பதிவுசெய்தல் செயல்முறை ஏற்கனவே உள்ளதா, காப்புப்பிரதிகள் மற்றும் பெயரிடப்பட்ட உரிமையாளருடன் கையொப்ப விசையை இயக்க முடியுமா, மற்றும் ரத்துசெய்தல் இறுதிப் புள்ளியை எவ்வாறு அடைகிறது. ஒவ்வொன்றும் ஆம் அல்லது இல்லை என்பதற்கு அருகில் உள்ளது, முதல் இல்லை பொதுவாக கட்டமைப்பைத் தீர்மானிக்கிறது.
அவற்றை வரிசையாகப் பாருங்கள். நேரடியாக செலவு ஒப்பீட்டுக்குத் தாவுவதுதான் குழுக்கள் நிர்வகிக்கப்பட்ட CA-வுடன் மிஞ்சி அடுத்த மடிக்கணினி சான்றிதழை யார் வழங்குவார் என்று யாருக்கும் தெரியாத நிலைக்கு வழிவகுக்கிறது.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
முதல் நிபந்தனை: பதிவுசெய்தல் ஏற்கனவே உள்ளதா?
உங்கள் நிறுவனம் ஏற்கனவே அங்கீகரிக்கப்பட்ட சாதனப் பதிவுசெய்தல் பாதையுடன் ஒரு CA-வை இயக்கினால், அதிலிருந்து Client VPN கிளையண்ட் சான்றிதழ்களை வழங்குவது மிகக் குறுகிய பாதை. அங்கீகாரங்கள், செயல்முறை மற்றும் சொத்துப் பதிவுகள் ஏற்கனவே அங்கு உள்ளன. அந்தப் படிநிலையின் கீழ் தனிப்பட்ட துணை வெளியீட்டாளர் பொதுப் பயன்பாட்டு வெளியீட்டு CA-வை விட பொதுவாகச் சிறந்தது, ஏனெனில் அது VPN-க்கு அதன் சொந்த நம்பிக்கை எல்லையையும் அதன் சொந்த ரத்துசெய்தல் பட்டியலையும் தருகிறது. அந்தப் பட்டியலைப் படிநிலையின் மற்ற பகுதியிலிருந்து தனியாக வைத்திருங்கள், இதனால் ஒரு VPN சம்பவம் முழு PKI-யிலும் மாற்றத்தைத் திணிக்காது.
அத்தகைய செயல்முறை இல்லாவிட்டால், உண்மையான கேள்வி அதை உருவாக்க விரும்புகிறீர்களா என்பதுதான். CA-வைத் தொடங்குவது எளிது, மோசமாக வைத்திருப்பது விலை உயர்ந்தது.
இரண்டாவது நிபந்தனை: கையொப்ப விசையை இயக்க முடியுமா?
சுய-நிர்வாக வெளியீட்டாளர் ஆவணப்படுத்தப்பட்ட இறக்குமதி மாதிரியுடன் செயல்படுகிறது, EasyRSA அல்லது சிறிய உள் கருவி பொருளை உருவாக்க முடியும். கட்டளையை இயக்குவது கடினமான பகுதி அல்ல. கடினமான பகுதி கையொப்ப விசையின் ஆஃப்லைன் காப்புப்பிரதிகள், யாரோ உண்மையில் சோதித்த மீட்புப் பாதை, விடுமுறையில் இல்லாத உரிமையாளர், மற்றும் விசை ஒருபோதும் கிளையண்ட் தொகுப்பு அல்லது உள்ளமைவு ஏற்றுமதியில் வரக்கூடாது என்ற விதி. முதல் சான்றிதழ் வழங்கப்படுவதற்கு முன் இதை நடைமுறையாக எழுதுங்கள், முதல் சம்பவத்திற்குப் பிறகு அல்ல.
AWS Private CA அந்தப் பாதுகாப்பை நிர்வகிக்கப்பட்ட சேவைக்கு நகர்த்துகிறது. பதிவுசெய்தல் கொள்கை, அங்கீகாரப் படி அல்லது சாதனத்திற்குச் சான்றிதழை வழங்குவதை நகர்த்துவதில்லை.
மூன்றாவது நிபந்தனை: ரத்துசெய்தல் எவ்வாறு வருகிறது?
Client VPN இறுதிப் புள்ளியில் நீங்கள் இறக்குமதி செய்யும் கிளையண்ட்-சான்றிதழ் ரத்துசெய்தல் பட்டியலைப் பயன்படுத்துகிறது, சான்றிதழ் வாழ்க்கைச் சுழற்சி வழிகாட்டியில் விவரிக்கப்பட்டுள்ளபடி. உங்கள் PKI-யில் வேறெங்காவது CRL வெளியிட்டால் அது சேவைக்குள் தள்ளப்படாது. இறக்குமதி தனி, திட்டமிடப்பட்ட செயல்பாடு, காலாவதியான பட்டியல் அமைதியாக மோசமடைவதற்குப் பதிலாக இணைப்புகளை நிறுத்துகிறது. புதுப்பித்தலைச் சான்றிதழ்களின் அதே நாட்காட்டியில் வையுங்கள்.
இது புதுப்பித்தலை உரிமையாளர் கொண்ட கண்காணிப்பு உருப்படியாக மாற்றுகிறது, தொடக்கத்தில் முடியும் வேலை அல்ல. இயங்குமுறை உண்மையில் தேவைப்படுவதற்கு முன் ஒரு சோதனைச் சான்றிதழைத் தொடக்கத்திலிருந்து இறுதி வரை ரத்து செய்யுங்கள்.
எந்த விருப்பமும் நீக்காதது
ஒவ்வொரு விருப்பத்திற்கும் இன்னும் தனித்தனியாக நிர்வகிக்கப்படும் ஒவ்வொரு சாதனத்திற்கும் தனி கிளையண்ட் சான்றிதழும் விசையும் தேவை. அனைவருக்கும் ஒரே அடையாளத்தைப் பங்கிடும் பயிற்சி பயிற்சியின் குறுக்குவழி, அது தேர்ந்தெடுத்த ரத்துசெய்தலையும் சாத்தியமற்றதாக்குகிறது.
ACM-இல் இறக்குமதி செய்யப்பட்ட சேவையகச் சான்றிதழ்களுக்கு நிர்வகிக்கப்பட்ட புதுப்பித்தல் இல்லை, எனவே உரிமையாளர் மாற்றீட்டைப் பெற்று, மீண்டும் இறக்குமதி செய்து, பின்னர் இறுதிப் புள்ளி அதை ஏற்றுக்கொண்டதை உறுதிப்படுத்த வேண்டும். சேவையகச் சான்றிதழைப் புதுப்பிப்பது மடிக்கணினிகளில் ஏற்கனவே உள்ள கிளையண்ட் சான்றுகளைப் புதுப்பிக்காது. அவை தனி நாட்காட்டிகளைக் கொண்ட தனி வாழ்க்கைச் சுழற்சிகள்.
எதையும் வழங்குவதற்கு முன் சேவை ஏற்கும் விசை வகைகளையும் நீட்டிப்புகளையும் சரிபார்க்கவும். CA ஒரு படிமுறையை ஆதரிப்பது இறுதிப் புள்ளி அதை ஏற்கும் என்று பொருள் அல்ல.
தொடங்குவதற்கு முன் நீங்கள் தேர்ந்தெடுத்த பணிப்பாய்வு வழியாக ஒரு புதுப்பித்தலையும் ஒரு கிளையண்ட் நீக்கத்தையும் இயக்கி, எந்தச் சான்று மாறியது, எந்த இறுதிப் புள்ளி அமைப்பு மாறியது மற்றும் செயலில் உள்ள அமர்வுக்கு என்ன நடந்தது என்பதை எழுதுங்கள். அந்தப் பயிற்சி தெளிவான உரிமையாளர் இல்லாமல் முடிந்தால், வெளியீட்டாளர் தேர்வு முடியவில்லை.