AWS Client VPN: CA nào nên cấp chứng chỉ máy khách?
Một CA sẵn có, một đơn vị cấp tự vận hành và AWS Private CA phân chia công việc khác nhau. Hãy quyết định ai phê duyệt, gia hạn và thu hồi chứng chỉ máy khách trước khi ra mắt.
Câu hỏi về chứng chỉ trên AWS Client VPN được đặt như câu hỏi sản phẩm, nhưng thực chất là câu hỏi vận hành. Bất kỳ cấu hình nào trong ba cấu hình thông thường đều duy trì một đường hầm hoạt động: CA tổ chức sẵn có, đơn vị cấp tự vận hành chuyên dụng, hoặc AWS Private CA. Chúng khác nhau ở việc ai phê duyệt thiết bị, ai giữ khóa ký và ai trả lời khi một laptop biến mất vào giờ bất tiện. Hãy chọn phương án mà bạn có thể nêu tên người phụ trách.
AWS không bắt buộc Private CA cho xác thực bằng chứng chỉ. Đặt chứng chỉ máy chủ vào ACM là một bước triển khai, không phải quy trình đăng ký.
Ba điều kiện quyết định
Ba điều kiện phân tách rõ các phương án: đã có quy trình đăng ký thiết bị được phê duyệt hay chưa, bạn có thể vận hành khóa ký với bản sao lưu và người phụ trách được chỉ định hay không, và việc thu hồi đến điểm cuối bằng cách nào. Mỗi điều gần với có hoặc không, và cái không đầu tiên thường quyết định kiến trúc.
Hãy xử lý theo thứ tự. Nhảy thẳng vào so sánh chi phí là cách các nhóm kết thúc với một CA được quản lý và không ai biết ai sẽ cấp chứng chỉ laptop tiếp theo.
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
Điều kiện một: đã có đăng ký chưa?
Nếu tổ chức của bạn đã vận hành một CA với đường đăng ký thiết bị được phê duyệt, việc cấp chứng chỉ máy khách Client VPN từ đó là con đường ngắn nhất. Các phê duyệt, quy trình và hồ sơ tài sản đã có sẵn. Một đơn vị cấp cấp dưới chuyên dụng trong hệ thống phân cấp đó thường tốt hơn CA cấp đa dụng, vì nó cho VPN ranh giới tin cậy riêng và danh sách thu hồi riêng. Hãy giữ danh sách đó tách khỏi phần còn lại của hệ thống phân cấp để một sự cố VPN không buộc phải thay đổi toàn bộ PKI.
Nếu không có quy trình như vậy, câu hỏi thực sự là bạn có muốn xây dựng một quy trình hay không. CA dễ bắt đầu và tốn kém khi vận hành kém.
Điều kiện hai: bạn có thể vận hành khóa ký không?
Đơn vị cấp tự vận hành làm việc với mô hình nhập đã được ghi lại, và EasyRSA hoặc một công cụ nội bộ nhỏ có thể tạo ra vật liệu. Chạy lệnh không phải phần khó. Phần khó là bản sao lưu ngoại tuyến của khóa ký, một đường khôi phục mà ai đó đã thực sự kiểm tra, một người phụ trách không đi nghỉ, và một quy tắc rằng khóa không bao giờ rơi vào gói máy khách hoặc bản xuất cấu hình. Hãy viết điều đó thành quy trình trước khi chứng chỉ đầu tiên được cấp, không phải sau sự cố đầu tiên.
AWS Private CA chuyển việc lưu giữ đó sang dịch vụ được quản lý. Nó không chuyển chính sách đăng ký, bước phê duyệt hay việc giao chứng chỉ cho thiết bị.
Điều kiện ba: thu hồi đến bằng cách nào?
Client VPN sử dụng danh sách thu hồi chứng chỉ máy khách mà bạn nhập vào điểm cuối, như mô tả trong hướng dẫn vòng đời chứng chỉ. Việc công bố CRL ở nơi khác trong PKI của bạn không đẩy nó vào dịch vụ. Việc nhập là một thao tác riêng, có lịch trình, và một danh sách hết hạn sẽ dừng kết nối thay vì suy giảm âm thầm. Hãy đặt việc gia hạn trên cùng lịch với chính các chứng chỉ.
Điều đó khiến gia hạn trở thành một mục giám sát có người phụ trách, không phải công việc kết thúc khi ra mắt. Hãy thu hồi một chứng chỉ thử nghiệm từ đầu đến cuối trước khi bạn thực sự cần cơ chế này.
Điều mà không phương án nào loại bỏ
Mọi phương án vẫn cần một chứng chỉ và khóa máy khách riêng cho mỗi thiết bị được quản lý độc lập. Một hướng dẫn phát cho tất cả mọi người một danh tính duy nhất là lối tắt của hướng dẫn, và nó cũng khiến việc thu hồi có chọn lọc trở nên bất khả thi.
Chứng chỉ máy chủ được nhập vào ACM không có gia hạn được quản lý, nên người phụ trách phải lấy bản thay thế, nhập lại rồi xác nhận rằng điểm cuối đã tiếp nhận. Gia hạn chứng chỉ máy chủ không gia hạn thông tin đăng nhập máy khách đã nằm trên laptop. Đó là những vòng đời riêng với lịch riêng.
Hãy kiểm tra các loại khóa và tiện ích mở rộng mà dịch vụ chấp nhận trước khi cấp bất cứ thứ gì. Việc CA hỗ trợ một thuật toán không có nghĩa là điểm cuối sẽ chấp nhận nó.
Trước khi ra mắt, hãy chạy một lần gia hạn và một lần gỡ bỏ máy khách qua quy trình bạn đã chọn, và ghi lại thông tin đăng nhập nào đã thay đổi, cài đặt điểm cuối nào đã thay đổi và điều gì đã xảy ra với phiên đang hoạt động. Nếu bài tập đó kết thúc mà không có người phụ trách rõ ràng, việc chọn đơn vị cấp chưa hoàn tất.