Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Erstellen Sie eine private CA in AWS Private CA
Sie können die Verfahren in diesem Abschnitt verwenden, um entweder Stammzertifizierungsstellen oder untergeordnete Zertifizierungsstellen zu erstellen. Das Ergebnis ist eine überprüfbare Hierarchie von Vertrauensbeziehungen, die Ihren Unternehmensanforderungen entspricht. Sie können eine CA mithilfe des AWS-Managementkonsole, des PCA-Teils von, oder erstellen. AWS CLI AWS CloudFormation
Informationen zum Aktualisieren der Konfiguration einer CA, die Sie bereits erstellt haben, finden Sie unterAktualisieren Sie eine private CA in AWS Private Certificate Authority.
Informationen zur Verwendung einer CA zum Signieren von Endentitätszertifikaten für Ihre Benutzer, Geräte und Anwendungen finden Sie unterStellen Sie private Endentitätszertifikate aus.
Anmerkung
Ihrem Konto wird ab dem Zeitpunkt, zu dem Sie sie erstellen, ein monatlicher Preis für jede private CA in Rechnung gestellt.
Die neuesten AWS Private CA Preisinformationen finden Sie unter AWS Private Certificate Authority Preise
CLI-Beispiele für die Erstellung einer privaten CA
In den folgenden Beispielen wird davon ausgegangen, dass Sie Ihr .aws Konfigurationsverzeichnis mit einer gültigen Standardregion, einem Endpunkt und Anmeldeinformationen eingerichtet haben. Informationen zur Konfiguration Ihrer AWS CLI Umgebung finden Sie unter Konfiguration und Einstellungen für Anmeldeinformationsdateien. Aus Gründen der besseren Lesbarkeit stellen wir in den Beispielbefehlen die CA-Konfiguration und die Sperreingabe als JSON-Dateien bereit. Ändern Sie die Beispieldateien nach Bedarf für Ihre Verwendung.
Alle Beispiele verwenden die folgende ca_config.txt Konfigurationsdatei, sofern nicht anders angegeben.
Datei: ca_config.txt
{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"Sales", "State":"WA", "Locality":"Seattle", "CommonName":"www.example.com" } }
Beispiel 1: Erstellen Sie eine CA mit aktiviertem OCSP
In diesem Beispiel aktiviert die Sperrdatei die standardmäßige OCSP-Unterstützung, die den AWS Private CA Responder verwendet, um den Zertifikatsstatus zu überprüfen.
Datei: revoke_config.txt für OCSP
{ "OcspConfiguration":{ "Enabled":true } }
Befehl
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA
Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der neuen CA aus.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:region:account:
certificate-authority/CA_ID"
}Befehl
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-2
Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der CA aus.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Verwenden Sie den folgenden Befehl, um die Konfiguration Ihrer CA zu überprüfen.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Diese Beschreibung sollte den folgenden Abschnitt enthalten.
"RevocationConfiguration": {
...
"OcspConfiguration": {
"Enabled": true
}
...
}Beispiel 2: Erstellen Sie eine CA mit aktiviertem OCSP und einem benutzerdefinierten CNAME
In diesem Beispiel aktiviert die Sperrdatei die benutzerdefinierte OCSP-Unterstützung. Der OcspCustomCname Parameter verwendet einen vollqualifizierten Domänennamen (FQDN) als Wert.
Wenn Sie in diesem Feld einen FQDN angeben, wird der FQDN anstelle der Standard-URL für den OCSP-Responder in die Authority Information Access-Erweiterung jedes ausgestellten Zertifikats AWS Private CA eingefügt. AWS Wenn ein Endpunkt ein Zertifikat empfängt, das den benutzerdefinierten FQDN enthält, fragt er diese Adresse nach einer OCSP-Antwort ab. Damit dieser Mechanismus funktioniert, müssen Sie zwei zusätzliche Maßnahmen ergreifen:
-
Verwenden Sie einen Proxyserver, um den Datenverkehr, der an Ihrem benutzerdefinierten FQDN ankommt, an den AWS OCSP-Responder weiterzuleiten.
-
Fügen Sie Ihrer DNS-Datenbank einen entsprechenden CNAME-Eintrag hinzu.
Tipp
Weitere Informationen zur Implementierung einer vollständigen OCSP-Lösung mit einem benutzerdefinierten CNAME finden Sie unter. Passen Sie die OCSP-URL an für AWS Private CA
Hier ist zum Beispiel ein CNAME-Eintrag für benutzerdefiniertes OCSP, wie er in Amazon Route 53 erscheinen würde.
| Datensatzname | Typ | Routing-Richtlinie | Unterscheidungsmerkmal | Value/Route Verkehr zu |
|---|---|---|---|---|
|
alternative.example.com |
CNAME | Einfach | - | proxy.example.com |
Anmerkung
Der Wert des CNAME darf kein Protokollpräfix wie „http://“ oder „https://“ enthalten.
Datei: revoke_config.txt für OCSP
{ "OcspConfiguration":{ "Enabled":true, "OcspCustomCname":"alternative.example.com" } }
Befehl
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-3
Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der CA aus.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Verwenden Sie den folgenden Befehl, um die Konfiguration Ihrer CA zu überprüfen.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Diese Beschreibung sollte den folgenden Abschnitt enthalten.
"RevocationConfiguration": {
...
"OcspConfiguration": {
"Enabled": true,
"OcspCustomCname": "alternative.example.com"
}
...
}Beispiel 3: Erstellen Sie eine CA mit einer angehängten CRL
In diesem Beispiel definiert die Sperrkonfiguration CRL-Parameter.
Datei: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "S3BucketName":"amzn-s3-demo-bucket" } }
Befehl
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der CA aus.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Verwenden Sie den folgenden Befehl, um die Konfiguration Ihrer CA zu überprüfen.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Diese Beschreibung sollte den folgenden Abschnitt enthalten.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"S3BucketName": "amzn-s3-demo-bucket"
},
...
}Beispiel 4: Erstellen Sie eine CA mit einer angehängten CRL und aktiviertem benutzerdefiniertem CNAME
In diesem Beispiel definiert die Sperrkonfiguration CRL-Parameter, die einen benutzerdefinierten CNAME enthalten.
Datei: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "CustomCname": "alternative.example.com", "S3BucketName":"amzn-s3-demo-bucket" } }
Befehl
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der CA aus.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Verwenden Sie den folgenden Befehl, um die Konfiguration Ihrer CA zu überprüfen.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Diese Beschreibung sollte den folgenden Abschnitt enthalten.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"CustomCname": "alternative.example.com",
"S3BucketName": "amzn-s3-demo-bucket",
...
}
}Beispiel 5: Erstellen Sie eine CA und geben Sie den Nutzungsmodus an
In diesem Beispiel wird der CA-Nutzungsmodus beim Erstellen einer CA angegeben. Wenn nicht angegeben, ist der Verwendungsmodusparameter standardmäßig auf GENERAL_PURPOSE voreingestellt. In diesem Beispiel ist der Parameter auf SHORT_LIVED_CERTIFICATE gesetzt, was bedeutet, dass die CA Zertifikate mit einer maximalen Gültigkeitsdauer von sieben Tagen ausstellt. In Situationen, in denen es umständlich ist, den Widerruf zu konfigurieren, läuft ein kurzlebiges Zertifikat, das kompromittiert wurde, im Rahmen des normalen Betriebs schnell ab. Folglich fehlt dieser Beispielzertifizierungsstelle ein Sperrmechanismus.
Anmerkung
AWS Private CA führt keine Gültigkeitsprüfungen für Stammzertifizierungsstellenzertifikate durch.
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --certificate-authority-type "ROOT" \ --usage-mode SHORT_LIVED_CERTIFICATE \ --tags Key=usageMode,Value=SHORT_LIVED_CERTIFICATE
Verwenden Sie den describe-certificate-authority Befehl in AWS CLI , um Details zur resultierenden CA anzuzeigen, wie im folgenden Befehl dargestellt:
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn arn:aws:acm:region:account:certificate-authority/CA_ID
{ "CertificateAuthority":{ "Arn":"arn:aws:acm-pca:region:account:certificate-authority/CA_ID", "CreatedAt":"2022-09-30T09:53:42.769000-07:00", "LastStateChangeAt":"2022-09-30T09:53:43.784000-07:00", "Type":"ROOT", "UsageMode":"SHORT_LIVED_CERTIFICATE", "Serial":"serial_number", "Status":"PENDING_CERTIFICATE", "CertificateAuthorityConfiguration":{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"Sales", "State":"WA", "Locality":"Seattle", "CommonName":"www.example.com" } }, "RevocationConfiguration":{ "CrlConfiguration":{ "Enabled":false }, "OcspConfiguration":{ "Enabled":false } }, ...
Beispiel 6: Erstellen Sie eine CA für die Active Directory-Anmeldung
Sie können eine private CA erstellen, die für die Verwendung im Enterprise NTAuth Store von Microsoft Active Directory (AD) geeignet ist, wo sie Kartenanmelde- oder Domänencontroller-Zertifikate ausstellen kann. Informationen zum Importieren eines CA-Zertifikats in AD finden Sie unter So importieren Sie Zertifikate von Zertifizierungsstellen (CA) von Drittanbietern in den Enterprise NTAuth Store.
Das Microsoft https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/certutil
In diesem Beispiel wird die folgende ca_config_AD.txt Konfigurationsdatei verwendet.
Datei: ca_config_ AD.txt
{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "CustomAttributes":[ { "ObjectIdentifier":"2.5.4.3", "Value":"root CA" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"example" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"com" } ] } }
Befehl
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config_AD.txt\ --certificate-authority-type "ROOT" \ --tags Key=application,Value=ActiveDirectory
Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der CA aus.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Verwenden Sie den folgenden Befehl, um die Konfiguration Ihrer CA zu überprüfen.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Diese Beschreibung sollte den folgenden Abschnitt enthalten.
... "Subject":{ "CustomAttributes":[ { "ObjectIdentifier":"2.5.4.3", "Value":"root CA" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"example" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"com" } ] } ...
Beispiel 7: Erstellen Sie eine Themen-CA mit einer angehängten CRL und der CDP-Erweiterung, die in den ausgestellten Zertifikaten weggelassen wurde
Sie können eine private CA erstellen, die für die Ausstellung von Zertifikaten für den Matter-Smart-Home-Standard geeignet ist. In diesem Beispiel ca_config_PAA.txt definiert die CA-Konfiguration in eine Matter Product Attestation Authority (PAA), bei der die Lieferanten-ID (VID) auf FFF1 festgelegt ist.
Datei: ca_config_ PAA.txt
{ "KeyAlgorithm":"EC_prime256v1", "SigningAlgorithm":"SHA256WITHECDSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"SmartHome", "State":"WA", "Locality":"Seattle", "CommonName":"Example Corp Matter PAA", "CustomAttributes":[ { "ObjectIdentifier":"1.3.6.1.4.1.37244.2.1", "Value":"FFF1"} ] } }
Die Sperrkonfiguration aktiviert CRLs und konfiguriert die CA so, dass die Standard-CDP-URL in allen ausgestellten Zertifikaten weggelassen wird.
Datei: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "S3BucketName":"amzn-s3-demo-bucket", "CrlDistributionPointExtensionConfiguration":{ "OmitExtension":true } } }
Befehl
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config_PAA.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der CA aus.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Verwenden Sie den folgenden Befehl, um die Konfiguration Ihrer CA zu überprüfen.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Diese Beschreibung sollte den folgenden Abschnitt enthalten.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"S3BucketName": "amzn-s3-demo-bucket",
"CrlDistributionPointExtensionConfiguration":{
"OmitExtension":true
}
},
...
}
...