Yolg'iz CSR hali ro'yxatga olish emas: VPN CA nimani tekshirishi kerak

Sertifikat imzolash so'rovida mos keladigan maxfiy kalit bilan imzolangan ochiq kalit va so'ralgan subject bo'ladi. Bu imzo so'rovchida kalit borligini isbotlaydi. So'rovchining so'ralgan nom, qurilma yoki VPN rolidagi huquqini isbotlamaydi va so'rovga shuni isbotlayotgandek munosabatda bo'lish aynan help desk chiptasi ruxsat berishga aylanish usulidir.

Ikki ro'yxatga olish modelini qaysi protokolda gaplashishiga ko'ra emas, nimalarni bog'lashiga ko'ra solishtirish kerak.

So'rov nomni da'vo qiladi, uni isbotlamaydi

So'rovni unda haqiqatan bor narsaga ko'ra o'qing: ochiq kalit, so'rovchi tanlagan subject va ikkisiga qo'yilgan o'z imzosi. Bu tuzilmada inventaringizga, hisoblar katalogiga yoki tasdiqlash oqimiga havola qiladigan hech narsa yo'q. cn=finance-laptop kabi subject — birov tergan satr. Berish jarayoni bu satrni ishonchli yozuv bilan tekshirmaguncha, sertifikat imzo ilova qilingan da'vo bo'lib qoladi. Bu farq ro'yxatga olish jarayonining mavjudligining butun sababidir.

Natijasi operatsion ahamiyatga ega. Sertifikat organi sertifikat berish uchun hech qachon mijozning maxfiy kalitiga muhtoj emas va uni talab qiladigan oqim imzolashni kalit saqlash bilan aralashtirib yuborgan. Generatsiyani oxirgi nuqtada qoldiring va faqat ochiq yarmini yuboring.

Modellarni nimalarni bog'lashiga ko'ra solishtiring

Qo'lda imzolash operator eslab qolgan tekshiruvni bog'laydi. Avtomatlashtirilgan ro'yxatga olish xizmati autentifikatsiya qilingan so'rovni xizmat bajarishi mumkin bo'lgan qarorga bog'laydi va RFC 7030 mijoz sertifikat qaytarilishidan oldin autentifikatsiya qilinadigan shunday bir loyihani tasvirlaydi. Auditdan o'tadigan farq avtomatlashtirish emas; u identifikatsiya tekshiruvi berish yo'lining ichidami yoki yonidami ekanligidir.

Ikkala model ham baribir o'sha uch savolga javob berishi kerak. Kim so'rayapti, qaysi qurilma yoki rolda va qancha muddatga. Javoblarni qayd qiluvchi chipta tizimi haqiqiy ish qiladi; birov umumiy nomga qarab o'tirgan navbat qilmaydi, keyin sertifikat qanchalik ehtiyotkorlik bilan formatlansa ham.

Modelni kutayotgan ro'yxatga olishlar soni va qurilmalar almashinuviga qarab tanlang. Yiliga bir necha server yozma tekshiruv ro'yxati bilan qo'lda ko'rikdan o'ta oladi. Noutbuklar parki o'ta olmaydi.

Hayot tsiklini birinchi berishdan boshlab qayd eting

Berish lahzasida sertifikat identifikatorini, egasini, mo'ljallangan foydalanishni, amal muddatini va olib tashlash yo'lini saqlang, birinchi hodisada emas. Mo'ljallangan foydalanish kengaytirilgan kalit foydalanish orqali sertifikatning o'zida bo'lishi kerak va yozuv unga mos kelishi kerak. Mijoz autentifikatsiyasi uchun yaratilgan sertifikat server uchun bo'lganidan ajratib bo'lmaydigan bo'lmasligi kerak.

O'ninchi profilni berishdan oldin yangilash va yo'qolgan qurilmani bekor qilishni rejalashtiring. Bo'lim bo'ylab umumiy sertifikat maqsadli olib tashlashni uzilishga aylantiradi va bu qarorni hozir qayta ko'rib chiqish juma kungi hodisa paytidan ancha arzon.

Berilgan sertifikatni, keyin ruxsatni tekshiring

Ro'yxatga olishdan keyin nima berilganini tekshiring va u kutilgan organga zanjirlanishini tasdiqlang. Ikki buyruq odatiy xatolarni qamrab oladi: noto'g'ri foydalanishdagi sertifikat va mijoz validatsiyani e'tiborsiz qoldirishga sozlanganligi sababli ishlaydigan zanjir.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Keyin artefaktni emas, ruxsatni sinab ko'ring. Sertifikat identifikatsiyani o'rnatadi va bu identifikatsiya qaysi xizmatlarga yeta olishini siyosat hali ham hal qiladi. Ikkisini ham tekshiring, chunki to'g'ri artefakt ham juda keng siyosat bilan ko'rikdan o'tmaydi. Mijoz autentifikatsiya qilishi va faqat mo'ljallangan yo'llar yoki resurslarni olishini tasdiqlang. Kuzatganingizni yozing, profil nima qilishi kerakligini emas.

Noto'g'ri sabab bilan ishlaydigan profil, masalan, mos keladigan umumiy nom va hech qanday identifikatsiya tekshiruvi yo'qligi, sizda bor deb o'ylagan nazorat olib tashlanganidan keyin ham ishlashda davom etadi.