Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Gérer le cycle de vie de l'autorité de certification privée

Les certificats d'une autorité de certification ont une durée de vie ou une période de validité fixe. Lorsqu'un certificat d'une autorité de certification expire, tous les certificats émis directement ou indirectement par les autorités de certification subordonnées situées en dessous de celui-ci dans la hiérarchie de l'autorité de certification deviennent invalides. Vous pouvez éviter l'expiration du certificat d'une autorité de certification en planifiant à l'avance.

Choisissez les périodes de validité

La période de validité d'un X.509 certificat est un champ de certificat de base obligatoire. Elle détermine la période pendant laquelle l'autorité de certification émettrice certifie que le certificat peut être approuvé, sauf révocation. (Un certificat racine, auto-signé, certifie sa propre période de validité.)

Autorité de certification privée AWS et AWS Certificate Manager aider à configurer les périodes de validité des certificats sous réserve des contraintes suivantes :

Le diagramme suivant montre une configuration type des périodes de validité imbriquées. Le certificat racine est la durée de vie la plus longue ; les certificats d'entité finale ont une durée de vie relativement courte ; et les autorités de certification subordonnées varient entre ces extrêmes.

Lorsque vous planifiez votre hiérarchie d'autorité de certification, déterminez la durée de vie optimale de vos certificats d'une autorité de certification. Travaillez en arrière à partir de la durée de vie souhaitée des certificats d'entité finale que vous souhaitez émettre.

End-entity certificats

End-entity les certificats doivent avoir une période de validité adaptée au cas d'utilisation. Une courte durée de vie minimise l'exposition d'un certificat en cas de perte ou de vol de sa clé privée. Cependant, des durées de vie courtes signifient des renouvellements fréquents. Le non-renouvellement d'un certificat expirant peut entraîner des temps d'arrêt.

L'utilisation distribuée de certificats d'entité finale peut également poser des problèmes logistiques en cas d'atteinte à la sécurité. Votre planification doit prendre en compte les certificats de renouvellement et de distribution, la révocation des certificats compromis et la rapidité avec laquelle les révocations se propagent aux clients qui s'appuient sur les certificats.

La période de validité par défaut d'un certificat d'entité finale délivré via ACM est de 13 mois (395 jours). Dans Autorité de certification privée AWS, vous pouvez utiliser l'IssueCertificateAPI pour appliquer n'importe quelle période de validité, à condition qu'elle soit inférieure à celle de l'autorité de certification émettrice.

Certificats d'une autorité de certification subordonnée

Les certificats d'une autorité de certification subordonnée doivent avoir des périodes de validité beaucoup plus longues que les certificats qu'ils délivrent. Une bonne fourchette pour la validité d'un certificat d'une autorité de certification est de deux à cinq fois la période de validité d'un certificat d'une autorité de certification enfant ou d'un certificat d'entité finale qu'il émet. Par exemple, supposons que vous disposez d'une hiérarchie d'autorité de certification à deux niveaux (autorité de certification racine et une autorité de certification subordonnée). Si vous souhaitez émettre des certificats d'entité finale d'une durée de vie d'un an, vous pouvez configurer la durée de vie de l'autorité de certification émettrice subordonnée à trois ans. Il s'agit de la période de validité par défaut pour un certificat CA subordonné dans Autorité de certification privée AWS. Les certificats d'une autorité de certification subordonnée peuvent être modifiés sans remplacer le certificat d'une autorité de certification racine.

Certificats racines d’autorité de certification

Les modifications apportées à un certificat d'une autorité de certification racine affectent l'ensemble de l'infrastructure à clé publique (infrastructure à clé publique) et vous obligent à mettre à jour tous les magasins d'approbation du système d'exploitation client dépendant et du navigateur. Pour minimiser l'impact opérationnel, vous devez choisir une longue période de validité pour le certificat racine. La durée Autorité de certification privée AWS par défaut pour les certificats racine est de dix ans.

Gérer la succession des CA

Vous disposez de deux façons de gérer la succession d'autorité de certification : remplacer l'ancienne autorité de certification ou réémettre l'autorité de certification avec une nouvelle période de validité.

Remplacer un ancien CA

Pour remplacer une ancienne autorité de certification, vous créez une nouvelle autorité de certification et vous la chaînez à la même autorité de certification parent. Ensuite, vous émettez des certificats à partir de la nouvelle autorité de certification.

Les certificats émis à partir de la nouvelle autorité de certification ont une nouvelle chaîne d'autorité de certification. Une fois la nouvelle autorité de certification établie, vous pouvez désactiver l'ancienne autorité de certification pour l'empêcher d'émettre de nouveaux certificats. Lorsqu'elle est désactivée, l'ancienne autorité de certification prend en charge la révocation des anciens certificats émis par l'autorité de certification et, si elle est configurée pour ce faire, elle continue à valider les certificats au moyen de listes de révocation de and/or certificats (CRL) OCSP. Lorsque le dernier certificat émis à partir de l'ancienne autorité de certification expire, vous pouvez supprimer l'ancienne autorité de certification. Vous pouvez générer un rapport d'audit pour tous les certificats émis par l'autorité de certification afin de confirmer que tous les certificats émis ont expiré. Si l'ancienne autorité de certification a des autorités de certification subordonnées, vous devez également les remplacer, car les autorités de certification subordonnées expirent en même temps ou avant leur autorité de certification parent. Commencez par remplacer l'autorité de certification la plus élevée dans la hiérarchie qui doit être remplacée. Créez ensuite de nouvelles autorités de certification subordonnées de remplacement à chaque niveau inférieur suivant.

AWS recommande d'inclure un identifiant de génération de CA dans les noms des autorités de certification selon les besoins. Supposons, par exemple, que vous nommez l'autorité de certification de première génération « Corporate Root CA ». Lorsque vous créez l'autorité de certification de deuxième génération, nommez-la « Corporate Root CA G2 ». Cette convention de dénomination simple peut aider à éviter toute confusion lorsque les deux autorités de certification n'ont pas expiré.

Cette méthode de succession de CA est préférée car elle fait pivoter la clé privée de l'autorité de certification. La rotation de la clé privée est une bonne pratique pour les clés de CA. La fréquence de rotation devrait être proportionnelle à la fréquence d'utilisation des clés : les autorités de certification qui délivrent plus de certificats devraient être tournées plus fréquemment.

Rééditer une ancienne CA

Lorsqu'une autorité de certification est sur le point d'expirer, une autre méthode pour prolonger sa durée de vie consiste à réémettre le certificat de l'autorité de certification avec une nouvelle date d'expiration. La réémission laisse toutes les métadonnées de l'autorité de certification en place et préserve les clés privées et publiques existantes. Dans ce scénario, la chaîne de certificats existante et les certificats d'entité finale non expirés émis par l'autorité de certification restent valides jusqu'à leur expiration. L'émission de nouveaux certificats peut également se poursuivre sans interruption. Pour mettre à jour une autorité de certification avec un certificat réémis, suivez les procédures d'installation habituelles décrites dansInstallation du certificat CA.

Révoquer une autorité de certification

Vous révoquez une autorité de certification en révoquant son certificat sous-jacent. Cela révoque également efficacement tous les certificats émis par l'autorité de certification. Les informations de révocation sont distribuées aux clients au moyen d'un OCSP ou d'une CRL. Vous ne devez révoquer un certificat d'autorité de certification que si vous souhaitez révoquer tous les certificats d'entité finale et d'autorité de certification subordonnée qu'il a émis.