AWS Client VPN: క్లయింట్ సర్టిఫికెట్లను ఏ CA జారీ చేయాలి?
ఇప్పటికే ఉన్న CA, స్వయం-నిర్వహణ జారీచేయువాడు మరియు AWS Private CA పనిని వేర్వేరుగా పంచుకుంటాయి. ప్రారంభించే ముందు క్లయింట్ సర్టిఫికెట్లను ఎవరు ఆమోదిస్తారు, పునరుద్ధరిస్తారు మరియు రద్దు చేస్తారు అని నిర్ణయించుకోండి.
AWS Client VPN లో సర్టిఫికెట్ ప్రశ్నను ఉత్పత్తి ప్రశ్నగా అడుగుతారు, కానీ వాస్తవానికి అది కార్యాచరణ ప్రశ్న. మూడు సాధారణ సెటప్లలో ఏదైనా పని చేస్తున్న టన్నెల్‌ను కొనసాగిస్తుంది: ఇప్పటికే ఉన్న సంస్థాగత CA, ప్రత్యేక స్వయం-నిర్వహణ జారీచేయువాడు, లేదా AWS Private CA. అవి పరికరాన్ని ఎవరు ఆమోదిస్తారు, సంతకం కీ ఎవరి దగ్గర ఉంటుంది, మరియు అసౌకర్య సమయంలో ల్యాప్‌టాప్ పోయినప్పుడు ఎవరు సమాధానం ఇస్తారు అనే విషయంలో భిన్నంగా ఉంటాయి. యజమానిని మీరు పేరు చెప్పగల ఎంపికను ఎంచుకోండి.
సర్టిఫికెట్ ప్రామాణీకరణకు AWS Private CA తప్పనిసరి చేయదు. ACM లో సర్వర్ సర్టిఫికెట్ ఉంచడం అమలు దశ, నమోదు ప్రక్రియ కాదు.
దాన్ని నిర్ణయించే మూడు షరతులు
మూడు షరతులు ఎంపికలను స్పష్టంగా వేరు చేస్తాయి: ఆమోదించిన పరికర నమోదు ప్రక్రియ ఇప్పటికే ఉందా, బ్యాకప్‌లు మరియు నియమించిన యజమానితో సంతకం కీని నిర్వహించగలరా, మరియు రద్దు ముగింపు బిందువుకు ఎలా చేరుతుంది. ప్రతి ఒక్కటి అవును లేదా కాదు అనే దానికి దగ్గరగా ఉంటుంది, మొదటి కాదు సాధారణంగా నిర్మాణాన్ని నిర్ణయిస్తుంది.
వాటిని క్రమంగా చూడండి. నేరుగా ఖర్చు పోలికకు దూకడమే బృందాలు నిర్వహిత CA తో మిగిలిపోయి తదుపరి ల్యాప్‌టాప్ సర్టిఫికెట్ ఎవరు జారీ చేస్తారో ఎవరికీ తెలియని స్థితికి దారి తీస్తుంది.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
మొదటి షరతు: నమోదు ఇప్పటికే ఉందా?
మీ సంస్థ ఇప్పటికే ఆమోదించిన పరికర నమోదు మార్గంతో CA ను నడుపుతున్నట్లయితే, దాని నుండి Client VPN క్లయింట్ సర్టిఫికెట్లను జారీ చేయడం అతి చిన్న మార్గం. ఆమోదాలు, ప్రక్రియ మరియు ఆస్తి రికార్డులు ఇప్పటికే అక్కడ ఉన్నాయి. ఆ క్రమానుగతం కింద ప్రత్యేక అధీన జారీచేయువాడు సాధారణ ప్రయోజన జారీ CA కంటే సాధారణంగా మెరుగ్గా ఉంటాడు, ఎందుకంటే అది VPN కి దాని స్వంత విశ్వాస పరిమితిని మరియు దాని స్వంత రద్దు జాబితాను ఇస్తుంది. ఆ జాబితాను క్రమానుగతంలోని మిగతా భాగం నుండి వేరుగా ఉంచండి, తద్వారా VPN సంఘటన మొత్తం PKI లో మార్పును బలవంతం చేయదు.
అలాంటి ప్రక్రియ లేకపోతే, నిజమైన ప్రశ్న మీరు ఒకటి నిర్మించాలనుకుంటున్నారా అనేది. CA ను ప్రారంభించడం సులభం, దాన్ని దురదృష్టవశాత్తు కలిగి ఉండటం ఖరీదు.
రెండవ షరతు: మీరు సంతకం కీని నిర్వహించగలరా?
స్వయం-నిర్వహణ జారీచేయువాడు డాక్యుమెంట్ చేసిన దిగుమతి నమూనాతో పని చేస్తాడు, మరియు EasyRSA లేదా చిన్న అంతర్గత సాధనం పదార్థాన్ని ఉత్పత్తి చేయగలదు. ఆదేశాన్ని అమలు చేయడం కష్టమైన భాగం కాదు. కష్టమైన భాగం సంతకం కీ యొక్క ఆఫ్‌లైన్ బ్యాకప్‌లు, ఎవరో నిజంగా పరీక్షించిన పునరుద్ధరణ మార్గం, సెలవులో లేని యజమాని, మరియు కీ ఎప్పుడూ క్లయింట్ బండిల్ లేదా కాన్ఫిగరేషన్ ఎగుమతిలోకి రాకూడదు అనే నియమం. మొదటి సర్టిఫికెట్ జారీ కాకముందే దీన్ని విధానంగా రాయండి, మొదటి సంఘటన తర్వాత కాదు.
AWS Private CA ఆ రక్షణను నిర్వహిత సేవలోకి తరలిస్తుంది. నమోదు విధానం, ఆమోద దశ లేదా పరికరానికి సర్టిఫికెట్ పంపిణీని తరలించదు.
మూడవ షరతు: రద్దు ఎలా వస్తుంది?
Client VPN మీరు ముగింపు బిందువులోకి దిగుమతి చేసే క్లయింట్-సర్టిఫికెట్ రద్దు జాబితాను వినియోగిస్తుంది, సర్టిఫికెట్ జీవితచక్ర మార్గదర్శినిలో వివరించినట్లుగా. మీ PKI లో మరెక్కడైనా CRL ప్రచురించడం దాన్ని సేవలోకి నెట్టదు. దిగుమతి ప్రత్యేక, షెడ్యూల్ చేసిన కార్యాచరణ, మరియు గడువు ముగిసిన జాబితా నిశ్శబ్దంగా క్షీణించడం కంటే కనెక్షన్లను ఆపుతుంది. పునరుద్ధరణను సర్టిఫికెట్లతోనే అదే క్యాలెండర్‌లో ఉంచండి.
ఇది పునరుద్ధరణను యజమాని ఉన్న పర్యవేక్షణ అంశంగా మారుస్తుంది, ప్రారంభంలో ముగిసే పని కాదు. యంత్రాంగం నిజంగా అవసరమయ్యే ముందే ఒక పరీక్షా సర్టిఫికెట్‌ను మొదటి నుండి చివరి వరకు రద్దు చేయండి.
ఏ ఎంపిక తీసివేయనిది
ప్రతి ఎంపికకు ఇంకా స్వతంత్రంగా నిర్వహించబడే ప్రతి పరికరానికి ప్రత్యేక క్లయింట్ సర్టిఫికెట్ మరియు కీ అవసరం. అందరికీ ఒకే గుర్తింపును పంచే ట్యుటోరియల్ ట్యుటోరియల్ చిన్నదారి, మరియు అది ఎంపిక రద్దును కూడా అసాధ్యం చేస్తుంది.
ACM లో దిగుమతి చేసిన సర్వర్ సర్టిఫికెట్లకు నిర్వహిత పునరుద్ధరణ లేదు, కాబట్టి యజమాని ప్రత్యామ్నాయాన్ని పొంది, మళ్లీ దిగుమతి చేసి, ఆపై ముగింపు బిందువు దాన్ని స్వీకరించిందని నిర్ధారించాలి. సర్వర్ సర్టిఫికెట్‌ను పునరుద్ధరించడం ల్యాప్‌టాప్‌లలో ఇప్పటికే ఉన్న క్లయింట్ ఆధారాలను పునరుద్ధరించదు. అవి వేర్వేరు క్యాలెండర్‌లతో వేర్వేరు జీవితచక్రాలు.
ఏదైనా జారీ చేయకముందు సేవ అంగీకరించే కీ రకాలు మరియు పొడిగింపులను తనిఖీ చేయండి. CA ఒక అల్గారిథమ్‌కు మద్దతు ఇవ్వడం ముగింపు బిందువు దాన్ని అంగీకరిస్తుందని అర్థం కాదు.
ప్రారంభించే ముందు మీరు ఎంచుకున్న పని ప్రవాహం ద్వారా ఒక పునరుద్ధరణ మరియు ఒక క్లయింట్ తొలగింపును నిర్వహించి, ఏ ఆధారం మారింది, ఏ ముగింపు బిందువు సెట్టింగ్ మారింది మరియు క్రియాశీల సెషన్‌కు ఏమి జరిగింది అని రాయండి. ఆ వ్యాయామం స్పష్టమైన యజమాని లేకుండా ముగిస్తే, జారీచేయువాడి ఎంపిక పూర్తి కాలేదు.