Aktualisieren Sie eine CA (Konsole)Aktualisierung einer CA (CLI)

Aktualisieren Sie eine private CA in AWS Private Certificate Authority

Sie können den Status einer privaten CA aktualisieren oder ihre Sperrkonfiguration ändern, nachdem Sie sie erstellt haben. Dieses Thema enthält Details zum CA-Status und zum CA-Lebenszyklus sowie Beispiele für Konsolen- und CLI-Updates für Zertifizierungsstellen.

Aktualisieren Sie eine CA (Konsole)

Die folgenden Verfahren zeigen, wie Sie vorhandene CA-Konfigurationen mithilfe von aktualisieren AWS-Managementkonsole.

Aktualisieren Sie den CA-Status (Konsole)

In diesem Beispiel wird der Status einer aktivierten CA in deaktiviert geändert.

Um den Status einer CA zu aktualisieren

Loggen Sie sich in Ihr AWS Konto ein und öffnen Sie die AWS Private CA Konsole unter https://console.aws.amazon.com/acm-pca/home
Wählen Sie auf der Seite Private Zertifizierungsstellen eine private CA, die derzeit aktiv ist, aus der Liste aus.
Wählen Sie im Menü „Aktionen“ die Option „Deaktivieren“, um die private Zertifizierungsstelle zu deaktivieren.

Aktualisierung der Sperrkonfiguration einer CA (Konsole)

Sie können die Sperrkonfiguration für Ihre private CA aktualisieren, indem Sie beispielsweise entweder OCSP- oder CRL-Unterstützung hinzufügen oder entfernen oder indem Sie deren Einstellungen ändern.

Anmerkung

Änderungen an der Sperrkonfiguration einer CA wirken sich nicht auf Zertifikate aus, die bereits ausgestellt wurden. Damit die verwaltete Sperrung funktioniert, müssen ältere Zertifikate erneut ausgestellt werden.

Für OCSP ändern Sie die folgenden Einstellungen:

Aktivieren oder deaktivieren Sie OCSP.
Aktivieren oder deaktivieren Sie einen benutzerdefinierten vollqualifizierten OCSP-Domänennamen (FQDN).
Ändern Sie den FQDN.

Für eine CRL können Sie jede der folgenden Einstellungen ändern:

Der CRL-Typ (vollständig oder partitioniert)
Gibt an, ob die private CA eine Zertifikatsperrliste (CRL) generiert
Die Anzahl der Tage, bevor eine Zertifikatsperrliste abläuft. Beachten Sie, dass der Versuch AWS Private CA beginnt, die CRL nach der Hälfte der von Ihnen angegebenen Anzahl von Tagen zu regenerieren.
Der Name des Amazon S3-Buckets, in dem Ihre CRL gespeichert ist.
Ein Alias, um den Namen Ihres Amazon S3-Buckets vor der Öffentlichkeit zu verbergen.

Wichtig

Das Ändern eines der vorherigen Parameter kann negative Auswirkungen haben. Dazu gehören beispielsweise das Deaktivieren der CRL-Generierung, das Ändern des Gültigkeitszeitraums oder das Ändern des S3-Buckets, nachdem Sie Ihre private CA in die Produktion aufgenommen haben. Solche Änderungen können bestehende Zertifikate beschädigen, die von der CRL und der aktuellen CRL-Konfiguration abhängen. Das Ändern des Alias kann sicher durchgeführt werden, solange der alte Alias mit dem richtigen Bucket verknüpft bleibt.

So aktualisieren Sie die Sperreinstellungen

Loggen Sie sich in Ihr AWS Konto ein und öffnen Sie die AWS Private CA Konsole unter https://console.aws.amazon.com/acm-pca/home.
Wählen Sie auf der Seite Private Zertifizierungsstellen eine private Zertifizierungsstelle aus der Liste aus. Dadurch wird der Detailbereich für die CA geöffnet.
Wählen Sie die Registerkarte „Sperrkonfiguration“ und dann „Bearbeiten“.
Unter Optionen für den Widerruf von Zertifikaten werden zwei Optionen angezeigt:
- Aktivieren Sie die CRL-Verteilung
- Schalten Sie OCSP ein
Sie können einen, keinen oder beide dieser Sperrmechanismen für Ihre CA konfigurieren. Obwohl optional, wird eine verwaltete Sperrung als bewährte Methode empfohlen. Bevor Sie diesen Schritt ausführen, finden Sie unter Planen Sie Ihre AWS Private CA Methode zum Widerruf von Zertifikaten Informationen zu den Vorteilen der einzelnen Methoden, zur eventuell erforderlichen Vorkonfiguration und zu zusätzlichen Sperrfunktionen.

Wählen Sie CRL-Verteilung aktivieren aus.
Um einen Amazon S3-Bucket für Ihre CRL-Einträge zu erstellen, wählen Sie Neuen S3-Bucket erstellen aus. Geben Sie einen eindeutigen Bucket-Namen an. (Sie müssen den Pfad zum Bucket nicht einschließen.) Andernfalls lassen Sie diese Option deaktiviert und wählen Sie einen vorhandenen Bucket aus der S3-Bucket-Namensliste aus.

Wenn Sie einen neuen Bucket erstellen, AWS Private CA wird die erforderliche Zugriffsrichtlinie erstellt und an diesen angehängt. Wenn Sie sich entscheiden, einen vorhandenen Bucket zu verwenden, müssen Sie ihm eine Zugriffsrichtlinie anhängen, bevor Sie mit der Generierung von CRLs beginnen können. Verwenden Sie eines der unter beschriebenen Richtlinienmuster. Zugriffsrichtlinien für CRLs in Amazon S3 Informationen zum Anhängen einer Richtlinie finden Sie unter Hinzufügen einer Bucket-Richtlinie mithilfe der Amazon S3-Konsole.
Anmerkung
Wenn Sie die AWS Private CA Konsole verwenden, schlägt der Versuch, eine CA zu erstellen, fehl, wenn die beiden folgenden Bedingungen zutreffen:
- Sie setzen die Block-Public-Access-Einstellungen in Ihrem Amazon S3-Bucket oder Konto durch.
- Sie haben darum AWS Private CA gebeten, automatisch einen Amazon S3-Bucket zu erstellen.
In dieser Situation versucht die Konsole standardmäßig, einen öffentlich zugänglichen Bucket zu erstellen, und Amazon S3 lehnt diese Aktion ab. Überprüfen Sie in diesem Fall Ihre Amazon S3-Einstellungen. Weitere Informationen finden Sie unter Blockieren des öffentlichen Zugriffs auf Ihren Amazon S3-Speicher.
Erweitern Sie Erweitert, um weitere Konfigurationsoptionen zu erhalten.
- Wählen Sie Partitionierung aktivieren, um die Partitionierung von CRLs zu aktivieren. Wenn Sie die Partitionierung nicht aktivieren, gilt für Ihre CA die maximale Anzahl gesperrter Zertifikate, die in den Kontingenten angegeben ist. AWS Private Certificate Authority Weitere Informationen zu partitionierten CRLs finden Sie unter CRL-Typen. CRL-Typen
- Fügen Sie einen benutzerdefinierten CRL-Namen hinzu, um einen Alias für Ihren Amazon S3-Bucket zu erstellen. Dieser Name ist in Zertifikaten enthalten, die von der CA in der Erweiterung „CRL Distribution Points“ ausgestellt wurden, die in RFC 5280 definiert ist. Um CRLs über IPv6 zu verwenden, setzen Sie dies auf den DualStack-S3-Endpunkt Ihres Buckets, wie unter CRLs über IPv6 verwenden beschrieben.
- Fügen Sie einen benutzerdefinierten Pfad hinzu, um einen DNS-Alias für den Dateipfad in Ihrem Amazon S3-Bucket zu erstellen.
- Geben Sie die Gültigkeitsdauer in Tagen ein. Ihre CRL bleibt gültig. Der Standardwert lautet 7 Tage. Für Online-CRLs ist eine Gültigkeitsdauer von 2-7 Tagen üblich. AWS Private CA versucht, die CRL zur Mitte des angegebenen Zeitraums zu regenerieren.
Wählen Sie Änderungen speichern, wenn Sie fertig sind.

Wählen Sie auf der Seite „Zertifikatssperrung“ die Option OCSP einschalten aus.

(Optional) Geben Sie im Feld Benutzerdefinierter OCSP-Endpunkt einen vollqualifizierten Domänennamen (FQDN) für Ihren OCSP-Endpunkt ein. Um OCSP über IPv6 zu verwenden, legen Sie in diesem Feld einen DualStack-Endpunkt fest, wie unter Verwenden von OCSP über IPv6 beschrieben. Verwenden von OCSP über IPv6

Wenn Sie in diesem Feld einen FQDN angeben, AWS Private CA fügen Sie den FQDN anstelle der Standard-URL für den OCSP-Responder in die Authority Information Access-Erweiterung jedes ausgestellten Zertifikats ein. AWS Wenn ein Endpunkt ein Zertifikat empfängt, das den benutzerdefinierten FQDN enthält, fragt er diese Adresse nach einer OCSP-Antwort ab. Damit dieser Mechanismus funktioniert, müssen Sie zwei zusätzliche Maßnahmen ergreifen:

Verwenden Sie einen Proxyserver, um den Datenverkehr, der an Ihrem benutzerdefinierten FQDN ankommt, an den AWS OCSP-Responder weiterzuleiten.
Fügen Sie Ihrer DNS-Datenbank einen entsprechenden CNAME-Eintrag hinzu.

Tipp

Weitere Informationen zur Implementierung einer vollständigen OCSP-Lösung mit einem benutzerdefinierten CNAME finden Sie unter. Passen Sie die OCSP-URL an für AWS Private CA

Hier ist zum Beispiel ein CNAME-Eintrag für benutzerdefiniertes OCSP, wie er in Amazon Route 53 erscheinen würde.

Datensatzname	Typ	Routing-Richtlinie	Unterscheidungsmerkmal	Value/Route Verkehr zu
alternative.example.com	CNAME	Einfach	-	proxy.example.com

Anmerkung

Der Wert des CNAME darf kein Protokollpräfix wie „http://“ oder „https://“ enthalten.

Wählen Sie Änderungen speichern, wenn Sie fertig sind.

Aktualisierung einer CA (CLI)

Die folgenden Verfahren zeigen, wie Sie den Status und die Sperrkonfiguration einer vorhandenen CA mithilfe von aktualisieren AWS CLI.

Anmerkung

Um den Status Ihrer privaten CA zu aktualisieren (AWS CLI)

Verwenden Sie den Befehl update-certificate-authority.

Dies ist nützlich, wenn Sie eine bestehende CA mit einem Status habenDISABLED, den Sie auf setzen möchtenACTIVE. Bestätigen Sie zunächst den Anfangsstatus der CA mit dem folgenden Befehl.


$ aws acm-pca describe-certificate-authority \
      --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \
      --output json

Dies führt zu einer Ausgabe, die der folgenden ähnelt.


{
    "CertificateAuthority": {
        "Arn": "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
        "CreatedAt": "2021-03-05T14:24:12.867000-08:00",
        "LastStateChangeAt": "2021-03-08T13:17:40.221000-08:00",
        "Type": "ROOT",
        "Serial": "serial_number",
        "Status": "DISABLED",
        "NotBefore": "2021-03-08T07:46:27-08:00",
        "NotAfter": "2022-03-08T08:46:27-08:00",
        "CertificateAuthorityConfiguration": {
            "KeyAlgorithm": "RSA_2048",
            "SigningAlgorithm": "SHA256WITHRSA",
            "Subject": {
                "Country": "US",
                "Organization": "Example Corp",
                "OrganizationalUnit": "Sales",
                "State": "WA",
                "CommonName": "www.example.com",
                "Locality": "Seattle"
            }
        },
        "RevocationConfiguration": {
            "CrlConfiguration": {
                "Enabled": true,
                "ExpirationInDays": 7,
                "CustomCname": "alternative.example.com",
                "S3BucketName": "amzn-s3-demo-bucket"
			},
            "OcspConfiguration": {
                "Enabled": false
            }
        }
    }
}

Mit dem folgenden Befehl wird der Status der privaten CA auf festgelegtACTIVE. Dies ist nur möglich, wenn ein gültiges Zertifikat auf der CA installiert ist.


$ aws acm-pca update-certificate-authority \
      --certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
      --status "ACTIVE"

Prüfen Sie den neuen Status der CA.


$ aws acm-pca describe-certificate-authority \
      --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \
      --output json

Der Status wird jetzt als angezeigtACTIVE.


{
    "CertificateAuthority": {
        "Arn": "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
        "CreatedAt": "2021-03-05T14:24:12.867000-08:00",
        "LastStateChangeAt": "2021-03-08T13:23:09.352000-08:00",
        "Type": "ROOT",
        "Serial": "serial_number",
        "Status": "ACTIVE",
        "NotBefore": "2021-03-08T07:46:27-08:00",
        "NotAfter": "2022-03-08T08:46:27-08:00",
        "CertificateAuthorityConfiguration": {
            "KeyAlgorithm": "RSA_2048",
            "SigningAlgorithm": "SHA256WITHRSA",
            "Subject": {
                "Country": "US",
                "Organization": "Example Corp",
                "OrganizationalUnit": "Sales",
                "State": "WA",
                "CommonName": "www.example.com",
                "Locality": "Seattle"
            }
        },
        "RevocationConfiguration": {
            "CrlConfiguration": {
                "Enabled": true,
                "ExpirationInDays": 7,
                "CustomCname": "alternative.example.com",
                "S3BucketName": "amzn-s3-demo-bucket"
            },
            "OcspConfiguration": {
                "Enabled": false
            }
        }
    }
}

In einigen Fällen haben Sie möglicherweise eine aktive CA, für die kein Sperrmechanismus konfiguriert ist. Wenn Sie mit der Verwendung einer Zertifikatssperrliste (CRL) beginnen möchten, gehen Sie wie folgt vor.

So fügen Sie einer vorhandenen CA eine CRL hinzu (AWS CLI)

Verwenden Sie den folgenden Befehl, um den aktuellen Status der CA zu überprüfen.


$ aws acm-pca describe-certificate-authority 
	--certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566
	--output json

Die Ausgabe bestätigt, dass die CA den Status hatACTIVE, aber nicht für die Verwendung einer CRL konfiguriert ist.


{
    "CertificateAuthority": {
        "Arn": "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
        "CreatedAt": "2021-03-08T14:36:26.449000-08:00",
        "LastStateChangeAt": "2021-03-08T14:50:52.224000-08:00",
        "Type": "ROOT",
        "Serial": "serial_number",
        "Status": "ACTIVE",
        "NotBefore": "2021-03-08T13:46:50-08:00",
        "NotAfter": "2022-03-08T14:46:50-08:00",
        "CertificateAuthorityConfiguration": {
            "KeyAlgorithm": "RSA_2048",
            "SigningAlgorithm": "SHA256WITHRSA",
            "Subject": {
                "Country": "US",
                "Organization": "Example Corp",
                "OrganizationalUnit": "Sales",
                "State": "WA",
                "CommonName": "www.example.com",
                "Locality": "Seattle"
            }
        },
        "RevocationConfiguration": {
            "CrlConfiguration": {
                "Enabled": false
            },
            "OcspConfiguration": {
                "Enabled": false
            }
        }
    }
}

Erstellen und speichern Sie eine Datei mit einem Namen, der beispielsweise revoke_config.txt Ihre CRL-Konfigurationsparameter definiert.
```
{
   "CrlConfiguration":{
      "Enabled": true,
      "ExpirationInDays": 7,
      "S3BucketName": "amzn-s3-demo-bucket"
   }
}
```
Anmerkung
Wenn Sie eine Matter-Gerätebescheinigungszertifizierungsstelle aktualisieren, um CRLs zu aktivieren, müssen Sie sie so konfigurieren, dass die CDP-Erweiterung in den ausgestellten Zertifikaten weggelassen wird, um die Konformität mit dem aktuellen Matter-Standard zu gewährleisten. Definieren Sie dazu Ihre CRL-Konfigurationsparameter wie unten dargestellt:
```
{
   "CrlConfiguration":{
      "Enabled": true,
      "ExpirationInDays": 7,
      "S3BucketName": "amzn-s3-demo-bucket"
      "CrlDistributionPointExtensionConfiguration":{
         "OmitExtension": true
      }
   }
}
```

Verwenden Sie den Befehl update-certificate-authority und die Sperrkonfigurationsdatei, um die CA zu aktualisieren.


$ aws acm-pca update-certificate-authority \
      --certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
      --revocation-configuration file://revoke_config.txt

Überprüfen Sie erneut den Status der CA.


$ aws acm-pca describe-certificate-authority 
	--certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566
	--output json

Die Ausgabe bestätigt, dass CA jetzt für die Verwendung einer CRL konfiguriert ist.


{
    "CertificateAuthority": {
        "Arn": "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
        "CreatedAt": "2021-03-08T14:36:26.449000-08:00",
        "LastStateChangeAt": "2021-03-08T14:50:52.224000-08:00",
        "Type": "ROOT",
        "Serial": "serial_number",
        "Status": "ACTIVE",
        "NotBefore": "2021-03-08T13:46:50-08:00",
        "NotAfter": "2022-03-08T14:46:50-08:00",
        "CertificateAuthorityConfiguration": {
            "KeyAlgorithm": "RSA_2048",
            "SigningAlgorithm": "SHA256WITHRSA",
            "Subject": {
                "Country": "US",
                "Organization": "Example Corp",
                "OrganizationalUnit": "Sales",
                "State": "WA",
                "CommonName": "www.example.com",
                "Locality": "Seattle"
            }
        },
        "RevocationConfiguration": {
            "CrlConfiguration": {
                "Enabled": true,
                "ExpirationInDays": 7,
                "S3BucketName": "amzn-s3-demo-bucket",
            },
            "OcspConfiguration": {
                "Enabled": false
            }
        }
    }
}

In einigen Fällen möchten Sie möglicherweise OCSP-Sperrunterstützung hinzufügen, anstatt wie im vorherigen Verfahren eine CRL zu aktivieren. Gehen Sie in diesem Fall wie folgt vor.

Um OCSP-Unterstützung zu einer vorhandenen CA hinzuzufügen (AWS CLI)

Erstellen und speichern Sie eine Datei mit einem Namen, der beispielsweise revoke_config.txt Ihre OCSP-Parameter definiert.
```
{
   "OcspConfiguration":{
      "Enabled":true
   }
}
```

Verwenden Sie den Befehl update-certificate-authority und die Sperrkonfigurationsdatei, um die CA zu aktualisieren.


$ aws acm-pca update-certificate-authority \
      --certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
      --revocation-configuration file://revoke_config.txt

Überprüfen Sie erneut den Status der CA.


$ aws acm-pca describe-certificate-authority 
	--certificate-authority-arnarn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566
	--output json

Die Ausgabe bestätigt, dass CA jetzt für die Verwendung von OCSP konfiguriert ist.


{
    "CertificateAuthority": {
        "Arn": "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
        "CreatedAt": "2021-03-08T14:36:26.449000-08:00",
        "LastStateChangeAt": "2021-03-08T14:50:52.224000-08:00",
        "Type": "ROOT",
        "Serial": "serial_number",
        "Status": "ACTIVE",
        "NotBefore": "2021-03-08T13:46:50-08:00",
        "NotAfter": "2022-03-08T14:46:50-08:00",
        "CertificateAuthorityConfiguration": {
            "KeyAlgorithm": "RSA_2048",
            "SigningAlgorithm": "SHA256WITHRSA",
            "Subject": {
                "Country": "US",
                "Organization": "Example Corp",
                "OrganizationalUnit": "Sales",
                "State": "WA",
                "CommonName": "www.example.com",
                "Locality": "Seattle"
            }
        },
        "RevocationConfiguration": {
            "CrlConfiguration": {
                "Enabled": false
            },
            "OcspConfiguration": {
                "Enabled": true
            }
        }
    }
}

Anmerkung

Sie können auch sowohl CRL- als auch OCSP-Unterstützung auf einer CA konfigurieren.

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

CA-Status

Löschen einer Zertifizierungsstelle (CA)