Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Erstellen Sie eine private CA in AWS Private CA
Sie können die Verfahren in diesem Abschnitt verwenden, um entweder eine Stamm CAs - oder eine untergeordnete CAs Struktur zu erstellen. Das Ergebnis ist eine überprüfbare Hierarchie von Vertrauensbeziehungen, die Ihren organisatorischen Anforderungen entspricht. Sie können eine Zertifizierungsstelle erstellen, indem Sie den AWS Management Console, den PCA Teil von oder verwenden. AWS CLI AWS CloudFormation
Informationen zum Aktualisieren der Konfiguration einer Zertifizierungsstelle, die Sie bereits erstellt haben, finden Sie unterAktualisieren Sie eine private Zertifizierungsstelle in AWS Private Certificate Authority.
Informationen zur Verwendung einer Zertifizierungsstelle zum Signieren von Endentitätszertifikaten für Ihre Benutzer, Geräte und Anwendungen finden Sie unterStellen Sie private Endentitätszertifikate aus.
Anmerkung
Ihrem Konto wird ab dem Zeitpunkt, zu dem Sie sie erstellen, ein monatlicher Preis für jede private CA in Rechnung gestellt.
Die neuesten AWS Private CA Preisinformationen finden Sie unter AWS Private Certificate Authority Preise
CLIBeispiele für die Erstellung einer privaten CA
Bei den folgenden Beispielen wird davon ausgegangen, dass Sie Ihr .aws Konfigurationsverzeichnis mit einer gültigen Standardregion, einem Endpunkt und Anmeldeinformationen eingerichtet haben. Informationen zur Konfiguration Ihrer AWS CLI Umgebung finden Sie unter Einstellungen für Konfiguration und Anmeldeinformationsdatei. Aus Gründen der besseren Lesbarkeit stellen wir in den Beispielbefehlen die Eingabe für die Konfiguration und den Widerruf der Zertifizierungsstelle als JSON Dateien bereit. Ändern Sie die Beispieldateien nach Bedarf für Ihren Gebrauch.
Alle Beispiele verwenden die folgende ca_config.txt Konfigurationsdatei, sofern nicht anders angegeben.
Datei: ca_config.txt
{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"Sales", "State":"WA", "Locality":"Seattle", "CommonName":"www.example.com" } }
Beispiel 1: Erstellen Sie eine CA mit OCSP aktiviertem
In diesem Beispiel aktiviert die Sperrdatei die OCSP Standardunterstützung, die den AWS Private CA Responder verwendet, um den Zertifikatsstatus zu überprüfen.
Datei: revoke_config.txt für OCSP
{ "OcspConfiguration":{ "Enabled":true } }
Befehl
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA
Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der neuen CA aus.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:region:account:
certificate-authority/CA_ID"
}Befehl
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-2
Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der CA aus.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Verwenden Sie den folgenden Befehl, um die Konfiguration Ihrer CA zu überprüfen.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Diese Beschreibung sollte den folgenden Abschnitt enthalten.
"RevocationConfiguration": {
...
"OcspConfiguration": {
"Enabled": true
}
...
}Beispiel 2: Erstellen Sie eine Zertifizierungsstelle mit CNAME aktivierter OCSP und benutzerdefinierter
In diesem Beispiel ermöglicht die Sperrdatei eine benutzerdefinierte OCSP Unterstützung. Der OcspCustomCname Parameter verwendet einen vollqualifizierten Domänennamen (FQDN) als Wert.
Wenn Sie FQDN in diesem Feld einen angeben, wird anstelle der Standarderweiterung URL für FQDN den AWS OCSP Responder die Erweiterung „Authority Information Access“ jedes ausgestellten Zertifikats in die Erweiterung „Authority Information Access“ AWS Private CA eingefügt. Wenn ein Endpunkt ein Zertifikat erhält, das das benutzerdefinierte Zertifikat enthältFQDN, fragt er diese Adresse ab, um eine OCSP Antwort zu erhalten. Damit dieser Mechanismus funktioniert, müssen Sie zwei zusätzliche Maßnahmen ergreifen:
-
Verwenden Sie einen Proxyserver, um den Datenverkehr, der bei Ihrem Custom eingehtFQDN, an den AWS OCSP Responder weiterzuleiten.
-
Fügen Sie Ihrer DNS Datenbank einen entsprechenden CNAME Datensatz hinzu.
Tipp
Weitere Hinweise zur Implementierung einer OCSP Komplettlösung mithilfe einer benutzerdefinierten CNAME Lösung finden Sie unterAnpassen OCSP URL für AWS Private CA.
Hier ist zum Beispiel ein CNAME Datensatz für angepasst, OCSP wie er in Amazon Route 53 erscheinen würde.
| Datensatzname | Typ | Routing-Richtlinie | Unterscheidungsmerkmal | Bewerten/Weiterleiten des Datenverkehrs an |
|---|---|---|---|---|
|
alternative.example.com |
CNAME | Einfach | - | proxy.example.com |
Anmerkung
Der Wert von CNAME darf kein Protokollpräfix wie „http://“ oder „https://“ enthalten.
Datei: revoke_config.txt für OCSP
{ "OcspConfiguration":{ "Enabled":true, "OcspCustomCname":"alternative.example.com" } }
Befehl
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-3
Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der CA aus.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Verwenden Sie den folgenden Befehl, um die Konfiguration Ihrer CA zu überprüfen.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Diese Beschreibung sollte den folgenden Abschnitt enthalten.
"RevocationConfiguration": {
...
"OcspConfiguration": {
"Enabled": true,
"OcspCustomCname": "alternative.example.com"
}
...
}Beispiel 3: Erstellen Sie eine Zertifizierungsstelle mit angehängtem CRL
In diesem Beispiel definiert die Sperrkonfiguration CRL Parameter.
Datei: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "S3BucketName":"amzn-s3-demo-bucket" } }
Befehl
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der CA aus.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Verwenden Sie den folgenden Befehl, um die Konfiguration Ihrer CA zu überprüfen.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Diese Beschreibung sollte den folgenden Abschnitt enthalten.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"S3BucketName": "amzn-s3-demo-bucket"
},
...
}Beispiel 4: Erstellen Sie eine CA mit einer angehängten CRL und einer CNAME aktivierten benutzerdefinierten
In diesem Beispiel definiert die Sperrkonfiguration CRL Parameter, die einen benutzerdefinierten Wert enthaltenCNAME.
Datei: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "CustomCname": "alternative.example.com", "S3BucketName":"amzn-s3-demo-bucket" } }
Befehl
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der CA aus.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Verwenden Sie den folgenden Befehl, um die Konfiguration Ihrer CA zu überprüfen.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Diese Beschreibung sollte den folgenden Abschnitt enthalten.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"CustomCname": "alternative.example.com",
"S3BucketName": "amzn-s3-demo-bucket",
...
}
}Beispiel 5: Erstellen Sie eine CA und geben Sie den Nutzungsmodus an
In diesem Beispiel wird der CA-Nutzungsmodus bei der Erstellung einer CA angegeben. Falls nicht angegeben, ist der Parameter für den Verwendungsmodus standardmäßig auf GENERAL _ festgelegt. PURPOSE In diesem Beispiel ist der Parameter auf SHORT _ LIVED _ gesetztCERTIFICATE, was bedeutet, dass die CA Zertifikate mit einer maximalen Gültigkeitsdauer von sieben Tagen ausstellt. In Situationen, in denen es unpraktisch ist, den Widerruf zu konfigurieren, läuft ein kurzlebiges Zertifikat, das kompromittiert wurde, im Rahmen des normalen Betriebs schnell ab. Folglich fehlt in dieser Beispielzertifizierungsstelle ein Sperrmechanismus.
Anmerkung
AWS Private CA führt keine Gültigkeitsprüfungen für Root-CA-Zertifikate durch.
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --certificate-authority-type "ROOT" \ --usage-mode SHORT_LIVED_CERTIFICATE \ --tags Key=usageMode,Value=SHORT_LIVED_CERTIFICATE
Verwenden Sie den describe-certificate-authorityBefehl in AWS CLI , um Details zur resultierenden Zertifizierungsstelle anzuzeigen, wie im folgenden Befehl dargestellt:
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn arn:aws:acm:region:account:certificate-authority/CA_ID
{ "CertificateAuthority":{ "Arn":"arn:aws:acm-pca:region:account:certificate-authority/CA_ID", "CreatedAt":"2022-09-30T09:53:42.769000-07:00", "LastStateChangeAt":"2022-09-30T09:53:43.784000-07:00", "Type":"ROOT", "UsageMode":"SHORT_LIVED_CERTIFICATE", "Serial":"serial_number", "Status":"PENDING_CERTIFICATE", "CertificateAuthorityConfiguration":{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"Sales", "State":"WA", "Locality":"Seattle", "CommonName":"www.example.com" } }, "RevocationConfiguration":{ "CrlConfiguration":{ "Enabled":false }, "OcspConfiguration":{ "Enabled":false } }, ...
Beispiel 6: Erstellen Sie eine Zertifizierungsstelle für die Active Directory-Anmeldung
Sie können eine private Zertifizierungsstelle erstellen, die für die Verwendung im Enterprise NTAuth Store von Microsoft Active Directory (AD) geeignet ist und dort Kartenanmelde- oder Domänencontrollerzertifikate ausstellen kann. Informationen zum Importieren eines CA-Zertifikats in AD finden Sie unter So importieren Sie Zertifikate von Drittanbieter-Zertifizierungsstellen (CA)
Das Microsoft-Tool certutil
In diesem Beispiel wird die folgende ca_config_AD.txt Konfigurationsdatei verwendet.
Datei: ca_config_AD.txt
{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "CustomAttributes":[ { "ObjectIdentifier":"2.5.4.3", "Value":"root CA" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"example" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"com" } ] } }
Befehl
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config_AD.txt\ --certificate-authority-type "ROOT" \ --tags Key=application,Value=ActiveDirectory
Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der CA aus.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Verwenden Sie den folgenden Befehl, um die Konfiguration Ihrer CA zu überprüfen.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Diese Beschreibung sollte den folgenden Abschnitt enthalten.
... "Subject":{ "CustomAttributes":[ { "ObjectIdentifier":"2.5.4.3", "Value":"root CA" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"example" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"com" } ] } ...
Beispiel 7: Erstellen Sie eine Themenzertifizierungsstelle mit einer angehängten CRL und CDP ohne Erweiterung in ausgestellten Zertifikaten
Sie können eine private Zertifizierungsstelle erstellen, die für die Ausstellung von Zertifikaten für den Matter Smart Home-Standard geeignet ist. In diesem Beispiel ca_config_PAA.txt definiert die CA-Konfiguration in eine Matter Product Attestation Authority (PAA) mit der Vendor-ID (VID), die auf gesetzt ist. FFF1
Datei: ca_config_ .txt PAA
{ "KeyAlgorithm":"EC_prime256v1", "SigningAlgorithm":"SHA256WITHECDSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"SmartHome", "State":"WA", "Locality":"Seattle", "CommonName":"Example Corp Matter PAA", "CustomAttributes":[ { "ObjectIdentifier":"1.3.6.1.4.1.37244.2.1", "Value":"FFF1"} ] } }
Die Sperrkonfiguration aktiviert und konfiguriert die CA soCRLs, dass der Standard in allen ausgestellten Zertifikaten weggelassen wird. CDP URL
Datei: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "S3BucketName":"amzn-s3-demo-bucket", "CrlDistributionPointExtensionConfiguration":{ "OmitExtension":true } } }
Befehl
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config_PAA.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der CA aus.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Verwenden Sie den folgenden Befehl, um die Konfiguration Ihrer CA zu überprüfen.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Diese Beschreibung sollte den folgenden Abschnitt enthalten.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"S3BucketName": "amzn-s3-demo-bucket",
"CrlDistributionPointExtensionConfiguration":{
"OmitExtension":true
}
},
...
}
...