Personalice OCSP URL para AWS Private CA - AWS Private Certificate Authority

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Personalice OCSP URL para AWS Private CA

nota

Este tema está dirigido a los clientes que desean personalizar el público del dispositivo URL de respuesta del Online Certificate Status Protocol (OCSP) con fines de marca u otros fines. Si planea usar la configuración predeterminada de Autoridad de certificación privada de AWS administradoOCSP, puede omitir este tema y seguir las instrucciones de configuración de Configurar la revocación.

De forma predeterminada, cuando habilita OCSP para Autoridad de certificación privada de AWS, cada certificado que emita contiene el certificado URL para el AWS OCSP respondedor. Esto permite a los clientes que soliciten una conexión criptográficamente segura enviar consultas OCSP de validación directamente a AWS. Sin embargo, en algunos casos, puede ser preferible indicar algo diferente URL en los certificados y, en última instancia, enviar OCSP consultas a AWS.

nota

Para obtener información sobre el uso de una lista de revocación de certificados (CRL) como alternativa o complementariaOCSP, consulte Configurar la revocación y Planear una lista de revocación de certificados (). CRL

La configuración de un formulario personalizado implica tres elementos. URL OCSP

El siguiente diagrama ilustra cómo estos componentes funcionan juntos.

Topología personalizada OCSP

Como se muestra en el diagrama, el proceso de OCSP validación personalizado consta de los siguientes pasos:

  1. Consultas del cliente DNS para el dominio de destino.

  2. El cliente recibe la IP de destino.

  3. El cliente abre una TCP conexión con el destino.

  4. El cliente recibe el TLS certificado de destino.

  5. El cliente DNS consulta el OCSP dominio que aparece en el certificado.

  6. El cliente recibe la IP del proxy.

  7. El cliente envía la OCSP consulta al proxy.

  8. El proxy reenvía la consulta al OCSP respondedor.

  9. El sistema de respuesta devuelve el estado del certificado al proxy.

  10. El proxy reenvía el estado del certificado al cliente.

  11. Si el certificado es válido, el cliente inicia el apretón de TLS manos.

sugerencia

Este ejemplo se puede implementar con Amazon CloudFront y Amazon Route 53 después de haber configurado una CA como se describe anteriormente.

  1. En CloudFront, cree una distribución y configúrela de la siguiente manera:

    • Cree un nombre alternativo que coincida con su nombre personalizadoCNAME.

    • Enlace su certificado a él.

    • Defina ocsp.acm-pca.<region>.amazonaws.com como origen.

    • Implemente la política de Managed-CachingDisabled.

    • Establezca la política de protocolo de Viewer en y. HTTP HTTPS

    • Establezca HTTPlos métodos permitidos en GETHEAD,OPTIONS,PUT,POST,PATCH, DELETE.

  2. En Route 53, crea un DNS registro que asigne tu personalización CNAME a la URL de la CloudFront distribución.