Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Si vous ne parvenez pas à installer Stunnel, essayez de désactiver la vérification du nom d'hôte du certificat. En outre, offrez le niveau de sécurité le plus élevé possible en activant le protocole OCSP (Online Certificate Status Protocol).
Rubriques
Désactivation de la vérification du nom d’hôte du certificat
Si vous ne pouvez pas installer les dépendances requises, vous pouvez désactiver la vérification du nom d’hôte du certificat dans la configuration d’assistant de montage Amazon EFS. Nous vous déconseillons de désactiver cette fonction dans les environnements de production. Pour désactiver la vérification du nom d’hôte du certificat, procédez comme suit :
-
Dans l’éditeur de texte de votre choix, ouvrez le fichier
/etc/amazon/efs/efs-utils.conf. -
Définissez la valeur de
stunnel_check_cert_hostnamesur false. -
Enregistrez les modifications du fichier, puis fermez-le.
Pour plus d’informations sur l’utilisation du chiffrement des données en transit, consultez Montage des systèmes de fichiers EFS.
Activation du protocole de vérification en ligne de certificat (OCSP)
Afin de maximiser la disponibilité du système de fichiers si l’autorité de certification n’est pas accessible depuis votre VPC, le protocole OCSP (Online Certificate Status Protocol) n’est pas activé par défaut lorsque vous choisissez de chiffrer les données en transit. Amazon EFS utilise une autorité de certification (CA) Amazon
Afin de vous assurer de la meilleure sécurité possible, vous pouvez activer OCSP de sorte que vos clients Linux puissent vérifier les certificats révoqués. OCSP protège contre l’utilisation malveillante des certificats révoqués, ce qui est peu probable dans votre VPC. Si un certificat TLS EFS est révoqué, Amazon publie un bulletin de sécurité et met à disposition une nouvelle version de l’assistant de montage EFS qui rejette le certificat révoqué.
Pour activer OCSP sur votre client Linux pour toutes les futures connexions TLS à EFS
-
Ouvrez un terminal sur votre client Linux.
-
Dans l’éditeur de texte de votre choix, ouvrez le fichier
/etc/amazon/efs/efs-utils.conf. -
Définissez la valeur de
stunnel_check_cert_validitysur true. -
Enregistrez les modifications du fichier, puis fermez-le.
Pour activer OCSP dans le cadre de la commande mount
-
Utilisez la commande mount suivante pour activer OCSP lors du montage du système de fichiers.
$sudo mount -t efs -o tls,ocspfs-12345678:/ /mnt/efs
