AWS Client VPN: istemci sertifikalarını hangi CA vermeli?
Mevcut bir CA, kendi işlettiğiniz verici ve AWS Private CA işi farklı böler. Başlamadan önce istemci sertifikalarını kimin onayladığına, yenilediğine ve iptal ettiğine karar verin.
AWS Client VPN'de sertifika sorusu ürün sorusu olarak sorulur, oysa gerçekte bir operasyon sorusudur. Üç yaygın kurulumdan herhangi biri çalışan bir tüneli sürdürür: mevcut kurumsal CA, kendine ayrılmış kendi işlettiğiniz verici veya AWS Private CA. Bir aygıtı kimin onayladığı, imzalama anahtarını kimin tuttuğu ve uygunsuz bir saatte dizüstü bilgisayar kaybolduğunda kimin yanıt verdiği bakımından farklılaşırlar. Sahibini adlandırabildiğiniz seçeneği seçin.
AWS sertifika kimlik doğrulaması için Private CA zorunlu tutmaz. Sunucu sertifikasını ACM'ye koymak bir dağıtım adımıdır, kayıt süreci değildir.
Kararı veren üç koşul
Üç koşul seçenekleri net biçimde ayırır: onaylanmış bir aygıt kayıt süreci zaten var mı, yedekleri ve adlandırılmış sahibi olan bir imzalama anahtarını işletebiliyor musunuz, ve iptal uç noktaya nasıl ulaşıyor. Her biri evet veya hayıra yakındır ve ilk hayır genellikle mimariyi belirler.
Bunları sırayla ele alın. Doğrudan maliyet karşılaştırmasına atlamak, ekiplerin yönetilen bir CA ile kalmasına ve sıradaki dizüstü bilgisayar sertifikasını kimin vereceğini kimsenin bilmemesine yol açar.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Birinci koşul: kayıt zaten var mı?
Kuruluşunuz zaten onaylanmış aygıt kayıt yoluna sahip bir CA işletiyorsa, Client VPN istemci sertifikalarını oradan vermek en kısa yoldur. Onaylar, süreç ve varlık kayıtları zaten oradadır. O hiyerarşi altında ayrılmış bir alt verici genellikle genel amaçlı verici CA'dan daha iyidir, çünkü VPN'e kendi güven sınırını ve kendi iptal listesini verir. Bu listeyi hiyerarşinin geri kalanından ayrı tutun, böylece bir VPN olayı tüm PKI'de değişiklik dayatmaz.
Böyle bir süreç yoksa asıl soru bunu kurmak isteyip istemediğinizdir. CA başlatmak kolaydır, kötü sahiplenmek pahalıdır.
İkinci koşul: imzalama anahtarını işletebiliyor musunuz?
Kendi işlettiğiniz verici belgelenmiş içe aktarma modeliyle çalışır ve EasyRSA veya küçük bir iç araç malzemeyi üretebilir. Komutu çalıştırmak zor kısım değildir. Zor kısım imzalama anahtarının çevrimdışı yedekleri, birinin gerçekten test ettiği kurtarma yolu, tatilde olmayan bir sahip ve anahtarın asla bir istemci paketine veya yapılandırma dışa aktarımına girmemesi kuralıdır. Bunu ilk sertifika verilmeden önce prosedür olarak yazın, ilk olaydan sonra değil.
AWS Private CA bu saklamayı yönetilen bir hizmete taşır. Kayıt politikasını, onay adımını veya sertifikanın aygıta teslimini taşımaz.
Üçüncü koşul: iptal nasıl geliyor?
Client VPN, uç noktaya içe aktardığınız istemci sertifikası iptal listesini kullanır; sertifika yaşam döngüsü kılavuzunda açıklandığı gibi. PKI'nizin başka bir yerinde CRL yayımlamak onu hizmete itmez. İçe aktarma ayrı ve planlanmış bir işlemdir ve süresi geçmiş liste sessizce bozulmak yerine bağlantıları durdurur. Yenilemeyi sertifikaların kendisiyle aynı takvime koyun.
Bu, yenilemeyi sahibi olan bir izleme maddesi yapar, başlangıçta biten bir görev değil. Mekanizmaya gerçekten ihtiyaç duymadan önce bir test sertifikasını baştan sona iptal edin.
Hiçbir seçeneğin ortadan kaldırmadığı şey
Her seçenek hâlâ bağımsız olarak yönetilen her aygıt için ayrı bir istemci sertifikası ve anahtarı gerektirir. Herkese tek bir kimlik dağıtan bir öğretici, öğretici kısayoludur ve seçmeli iptali de olanaksız kılar.
ACM'ye aktarılan sunucu sertifikalarının yönetilen yenilemesi yoktur, bu yüzden sahip yedeği edinmeli, yeniden içe aktarmalı ve ardından uç noktanın onu benimsediğini doğrulamalıdır. Sunucu sertifikasını yenilemek, dizüstü bilgisayarlarda zaten duran istemci kimlik bilgilerini yenilemez. Bunlar ayrı takvimleri olan ayrı yaşam döngüleridir.
Bir şey vermeden önce hizmetin kabul ettiği anahtar türlerini ve uzantıları kontrol edin. Bir CA'nın bir algoritmayı desteklemesi, uç noktanın onu kabul edeceği anlamına gelmez.
Başlamadan önce seçtiğiniz iş akışıyla bir yenileme ve bir istemci kaldırma çalıştırın ve hangi kimlik bilgisinin değiştiğini, hangi uç nokta ayarının değiştiğini ve etkin oturuma ne olduğunu yazın. Bu alıştırma net bir sahip olmadan biterse verici seçimi tamamlanmamıştır.