Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Créez une autorité de certification privée dans CA privée AWS
Vous pouvez utiliser les procédures décrites dans cette section pour créer des autorités de certification racines ou des autorités de certification subordonnées, ce qui permet d'établir une hiérarchie vérifiable des relations de confiance qui correspond aux besoins de votre organisation. Vous pouvez créer une autorité de certification à Console de gestion AWS l'aide de la partie PCA du AWS CLI, ou AWS CloudFormation.
Pour plus d'informations sur la mise à jour de la configuration d'une autorité de certification que vous avez déjà créée, consultezMettre à jour une autorité de certification privée dans Autorité de certification privée AWS.
Pour plus d'informations sur l'utilisation d'une autorité de certification pour signer des certificats d'entité finale pour vos utilisateurs, appareils et applications, consultezÉmettre des certificats d'entité finale privés.
Note
Un tarif mensuel est facturé à votre compte pour chaque autorité de certification privée à partir du moment où vous l'avez créée.
Pour obtenir les informations les plus récentes sur les Autorité de certification privée AWS prix, consultez la section Autorité de certification privée AWS Tarification
Exemples de CLI pour créer une autorité de certification privée
Les exemples suivants supposent que vous avez configuré votre répertoire de .aws configuration avec une région, un point de terminaison et des informations d'identification par défaut valides. Pour plus d'informations sur la configuration de votre AWS CLI environnement, consultez la section Configuration et paramètres du fichier d'informations d'identification. Pour des raisons de lisibilité, nous fournissons la configuration et l'entrée de révocation de l'autorité de certification sous forme de fichiers JSON dans les exemples de commandes. Modifiez les fichiers d'exemple en fonction de votre utilisation.
Tous les exemples utilisent le fichier de ca_config.txt configuration suivant, sauf indication contraire.
Fichier : ca_config.txt
{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"Sales", "State":"WA", "Locality":"Seattle", "CommonName":"www.example.com" } }
Exemple 1 : créer une autorité de certification avec OCSP activé
Dans cet exemple, le fichier de révocation active le support OCSP par défaut, qui utilise le Autorité de certification privée AWS répondeur pour vérifier l'état du certificat.
Fichier : revoke_config.txt pour OCSP
{ "OcspConfiguration":{ "Enabled":true } }
Commande
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA
En cas de succès, cette commande génère le nom de ressource Amazon (ARN) de la nouvelle autorité de certification.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:region:account:
certificate-authority/CA_ID"
}Commande
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-2
En cas de succès, cette commande génère le nom de ressource Amazon (ARN) de l'autorité de certification.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Utilisez la commande suivante pour inspecter la configuration de votre autorité de certification.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Cette description doit contenir la section suivante.
"RevocationConfiguration": {
...
"OcspConfiguration": {
"Enabled": true
}
...
}Exemple 2 : Création d'une autorité de certification avec OCSP et activation d'un CNAME personnalisé
Dans cet exemple, le fichier de révocation active la prise en charge personnalisée de l'OCSP. Le OcspCustomCname paramètre prend un nom de domaine complet (FQDN) comme valeur.
Lorsque vous indiquez un nom de domaine complet dans ce champ, Autorité de certification privée AWS insère le nom de domaine complet dans l'extension d'accès aux informations d'autorité de chaque certificat émis à la place de l'URL par défaut du répondeur AWS OCSP. Lorsqu'un terminal reçoit un certificat contenant le nom de domaine complet personnalisé, il demande une réponse OCSP à cette adresse. Pour que ce mécanisme fonctionne, vous devez effectuer deux actions supplémentaires :
-
Utilisez un serveur proxy pour transférer le trafic qui arrive sur votre nom de domaine complet personnalisé vers le répondeur AWS OCSP.
-
Ajoutez un enregistrement CNAME correspondant à votre base de données DNS.
Astuce
Pour plus d'informations sur la mise en œuvre d'une solution OCSP complète à l'aide d'un CNAME personnalisé, consultez. Personnaliser l'URL OCSP pour CA privée AWS
Par exemple, voici un enregistrement CNAME pour un OCSP personnalisé tel qu'il apparaîtrait dans Amazon Route 53.
| Nom de l’enregistrement | Type | Stratégie de routage | Différenciateur | Value/Route trafic vers |
|---|---|---|---|---|
|
alternative.example.com |
CNAME | Simplicité | - | proxy.exemple.com |
Note
La valeur du CNAME ne doit pas inclure de préfixe de protocole tel que « http ://» ou « https ://».
Fichier : revoke_config.txt pour OCSP
{ "OcspConfiguration":{ "Enabled":true, "OcspCustomCname":"alternative.example.com" } }
Commande
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-3
En cas de succès, cette commande génère le nom de ressource Amazon (ARN) de l'autorité de certification.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Utilisez la commande suivante pour inspecter la configuration de votre autorité de certification.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Cette description doit contenir la section suivante.
"RevocationConfiguration": {
...
"OcspConfiguration": {
"Enabled": true,
"OcspCustomCname": "alternative.example.com"
}
...
}Exemple 3 : créer une autorité de certification avec une CRL attachée
Dans cet exemple, la configuration de révocation définit les paramètres de la CRL.
Fichier : revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "S3BucketName":"amzn-s3-demo-bucket" } }
Commande
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
En cas de succès, cette commande génère le nom de ressource Amazon (ARN) de l'autorité de certification.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Utilisez la commande suivante pour inspecter la configuration de votre autorité de certification.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Cette description doit contenir la section suivante.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"S3BucketName": "amzn-s3-demo-bucket"
},
...
}Exemple 4 : créer une autorité de certification avec une CRL attachée et un CNAME personnalisé activé
Dans cet exemple, la configuration de révocation définit des paramètres CRL qui incluent un CNAME personnalisé.
Fichier : revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "CustomCname": "alternative.example.com", "S3BucketName":"amzn-s3-demo-bucket" } }
Commande
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
En cas de succès, cette commande génère le nom de ressource Amazon (ARN) de l'autorité de certification.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Utilisez la commande suivante pour inspecter la configuration de votre autorité de certification.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Cette description doit contenir la section suivante.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"CustomCname": "alternative.example.com",
"S3BucketName": "amzn-s3-demo-bucket",
...
}
}Exemple 5 : créer une autorité de certification et spécifier le mode d'utilisation
Dans cet exemple, le mode d'utilisation de l'autorité de certification est spécifié lors de la création d'une autorité de certification. S'il n'est pas spécifié, le paramètre du mode d'utilisation est défini par défaut sur GENERAL_PURPOSE. Dans cet exemple, le paramètre est défini sur SHORT_LIVED_CERTIFICATE, ce qui signifie que l'autorité de certification émettra des certificats d'une durée de validité maximale de sept jours. Dans les situations où il n'est pas pratique de configurer la révocation, un certificat de courte durée compromis expire rapidement dans le cadre des opérations normales. Par conséquent, cet exemple de CA ne dispose pas d'un mécanisme de révocation.
Note
Autorité de certification privée AWS n'effectue pas de contrôles de validité sur les certificats CA racine.
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --certificate-authority-type "ROOT" \ --usage-mode SHORT_LIVED_CERTIFICATE \ --tags Key=usageMode,Value=SHORT_LIVED_CERTIFICATE
Utilisez la describe-certificate-authority commande du AWS CLI pour afficher des détails sur l'autorité de certification résultante, comme indiqué dans la commande suivante :
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn arn:aws:acm:region:account:certificate-authority/CA_ID
{ "CertificateAuthority":{ "Arn":"arn:aws:acm-pca:region:account:certificate-authority/CA_ID", "CreatedAt":"2022-09-30T09:53:42.769000-07:00", "LastStateChangeAt":"2022-09-30T09:53:43.784000-07:00", "Type":"ROOT", "UsageMode":"SHORT_LIVED_CERTIFICATE", "Serial":"serial_number", "Status":"PENDING_CERTIFICATE", "CertificateAuthorityConfiguration":{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"Sales", "State":"WA", "Locality":"Seattle", "CommonName":"www.example.com" } }, "RevocationConfiguration":{ "CrlConfiguration":{ "Enabled":false }, "OcspConfiguration":{ "Enabled":false } }, ...
Exemple 6 : Création d'une autorité de certification pour la connexion à Active Directory
Vous pouvez créer une autorité de certification privée pouvant être utilisée dans la boutique Enterprise NTAuth de Microsoft Active Directory (AD), où elle peut émettre des certificats d'ouverture de session par carte ou de contrôleur de domaine. Pour plus d'informations sur l'importation d'un certificat CA dans AD, consultez Comment importer des certificats d'autorité de certification (CA) tierce dans la boutique Enterprise nTauth.
L'outil Microsoft
Cet exemple utilise le fichier ca_config_AD.txt de configuration suivant.
Fichier : ca_config_ AD.txt
{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "CustomAttributes":[ { "ObjectIdentifier":"2.5.4.3", "Value":"root CA" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"example" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"com" } ] } }
Commande
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config_AD.txt\ --certificate-authority-type "ROOT" \ --tags Key=application,Value=ActiveDirectory
En cas de succès, cette commande génère le nom de ressource Amazon (ARN) de l'autorité de certification.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Utilisez la commande suivante pour inspecter la configuration de votre autorité de certification.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Cette description doit contenir la section suivante.
... "Subject":{ "CustomAttributes":[ { "ObjectIdentifier":"2.5.4.3", "Value":"root CA" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"example" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"com" } ] } ...
Exemple 7 : Création d'une autorité de certification Matter avec une CRL associée et l'extension CDP omise des certificats émis
Vous pouvez créer une autorité de certification privée adaptée à la délivrance de certificats selon la norme Matter pour la maison intelligente. Dans cet exemple, la configuration CA ca_config_PAA.txt définit une autorité d'attestation du produit (PAA) dont l'ID du fournisseur (VID) est défini sur FFF1.
Fichier : ca_config_ PAA.txt
{ "KeyAlgorithm":"EC_prime256v1", "SigningAlgorithm":"SHA256WITHECDSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"SmartHome", "State":"WA", "Locality":"Seattle", "CommonName":"Example Corp Matter PAA", "CustomAttributes":[ { "ObjectIdentifier":"1.3.6.1.4.1.37244.2.1", "Value":"FFF1"} ] } }
La configuration de révocation active les CRL et configure l'autorité de certification pour omettre l'URL CDP par défaut de tous les certificats émis.
Fichier : revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "S3BucketName":"amzn-s3-demo-bucket", "CrlDistributionPointExtensionConfiguration":{ "OmitExtension":true } } }
Commande
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config_PAA.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
En cas de succès, cette commande génère le nom de ressource Amazon (ARN) de l'autorité de certification.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Utilisez la commande suivante pour inspecter la configuration de votre autorité de certification.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Cette description doit contenir la section suivante.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"S3BucketName": "amzn-s3-demo-bucket",
"CrlDistributionPointExtensionConfiguration":{
"OmitExtension":true
}
},
...
}
...