View a markdown version of this page

Configurez une CRL pour CA privée AWS - Autorité de certification privée AWS
Types de CRLStructure de la CRLPolitiques d'accès pour les CRL dans Amazon S3S3 BPA avec CloudFrontDéterminer l'URI du point de distribution CRL (CDP)

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configurez une CRL pour CA privée AWS

Avant de pouvoir configurer une liste de révocation de certificats (CRL) dans le cadre du processus de création de l'autorité de certification, une configuration préalable peut être nécessaire. Cette section décrit les prérequis et les options que vous devez connaître avant de créer une autorité de certification à laquelle est attachée une CRL.

Pour plus d'informations sur l'utilisation du protocole OCSP (Online Certificate Status Protocol) comme alternative ou complément à une CRL, consultez Certificate revocation options et. Personnalisez l'URL OCSP pour CA privée AWS

Types de CRL

  • Terminé : paramètre par défaut. Autorité de certification privée AWS conserve un fichier CRL unique et non partitionné pour tous les certificats non expirés émis par une autorité de certification qui ont été révoqués. Chaque certificat Autorité de certification privée AWS émis est lié à une CRL spécifique via son extension de point de distribution CRL (CDP), telle que définie dans la RFC 5280. Vous pouvez avoir jusqu'à 1 million de certificats privés pour chaque autorité de certification avec la CRL complète activée. Pour plus d'informations, consultez les CA privée AWS quotas.

  • Partitionnées  : comparées aux CRL complètes, les CRL partitionnées augmentent considérablement le nombre de certificats que votre autorité de certification privée peut émettre et vous évite de devoir alterner fréquemment vos autorités de certification.

    Important

    Lorsque vous utilisez des CRL partitionnées, vous devez vérifier que l'URI du point de distribution émetteur (IDP) associé à la CRL correspond à l'URI CDP du certificat afin de vous assurer que la bonne CRL a été récupérée. Autorité de certification privée AWS marque l'extension IDP comme critique, que votre client doit être en mesure de traiter.

Structure de la CRL

Chaque liste est un fichier codé DER. Pour télécharger le fichier et utiliser OpenSSL pour l'afficher, utilisez une commande similaire à la suivante :

openssl crl -inform DER -in path-to-crl-file -text -noout

Les listes de révocation de certificats sont au format suivant :

Certificate Revocation List (CRL):
		        Version 2 (0x1)
		    Signature Algorithm: sha256WithRSAEncryption
		        Issuer: /C=US/ST=WA/L=Seattle/O=Example Company CA/OU=Corporate/CN=www.example.com
		        Last Update: Feb 26 19:28:25 2018 GMT
		        Next Update: Feb 26 20:28:25 2019 GMT
		        CRL extensions:
		            X509v3 Authority Key Identifier:
		                keyid:AA:6E:C1:8A:EC:2F:8F:21:BC:BE:80:3D:C5:65:93:79:99:E7:71:65
		
		            X509v3 CRL Number:
		                1519676905984
		Revoked Certificates:
		    Serial Number: E8CBD2BEDB122329F97706BCFEC990F8
		        Revocation Date: Feb 26 20:00:36 2018 GMT
		        CRL entry extensions:
		            X509v3 CRL Reason Code:
		                Key Compromise
		    Serial Number: F7D7A3FD88B82C6776483467BBF0B38C
		        Revocation Date: Jan 30 21:21:31 2018 GMT
		        CRL entry extensions:
		            X509v3 CRL Reason Code:
		                Key Compromise
		    Signature Algorithm: sha256WithRSAEncryption
		         82:9a:40:76:86:a5:f5:4e:1e:43:e2:ea:83:ac:89:07:49:bf:
		         c2:fd:45:7d:15:d0:76:fe:64:ce:7b:3d:bb:4c:a0:6c:4b:4f:
		         9e:1d:27:f8:69:5e:d1:93:5b:95:da:78:50:6d:a8:59:bb:6f:
		         49:9b:04:fa:38:f2:fc:4c:0d:97:ac:02:51:26:7d:3e:fe:a6:
		         c6:83:34:b4:84:0b:5d:b1:c4:25:2f:66:0a:2e:30:f6:52:88:
		         e8:d2:05:78:84:09:01:e8:9d:c2:9e:b5:83:bd:8a:3a:e4:94:
		         62:ed:92:e0:be:ea:d2:59:5b:c7:c3:61:35:dc:a9:98:9d:80:
		         1c:2a:f7:23:9b:fe:ad:6f:16:7e:22:09:9a:79:8f:44:69:89:
		         2a:78:ae:92:a4:32:46:8d:76:ee:68:25:63:5c:bd:41:a5:5a:
		         57:18:d7:71:35:85:5c:cd:20:28:c6:d5:59:88:47:c9:36:44:
		         53:55:28:4d:6b:f8:6a:00:eb:b4:62:de:15:56:c8:9c:45:d7:
		         83:83:07:21:84:b4:eb:0b:23:f2:61:dd:95:03:02:df:0d:0f:
		         97:32:e0:9d:38:de:7c:15:e4:36:66:7a:18:da:ce:a3:34:94:
		         58:a6:5d:5c:04:90:35:f1:8b:55:a9:3c:dd:72:a2:d7:5f:73:
		         5a:2c:88:85
Note

Lorsque vous configurez une CRL pour une autorité de certification, Autorité de certification privée AWS écrit un objet de test dans le compartiment Amazon S3 afin de vérifier qu'il est autorisé à écrire dans le compartiment. L'objet est nomméacm-pca-permission-test-key, ou acm-pca-permission-test-key-private s'il S3ObjectAcl est défini surBUCKET_OWNER_FULL_CONTROL.

Pour une CRL complète, Autorité de certification privée AWS écrit la première CRL dans le bucket peu après la configuration de la CRL, généralement dans les 30 minutes, même si l'autorité de certification n'a émis aucun certificat. La CRL est vide jusqu'à ce que vous révoquiez un certificat et que vous la mettiez Autorité de certification privée AWS à jour régulièrement.

Pour les CRL partitionnées, Autorité de certification privée AWS écrit la CRL pour une partition uniquement après que l'autorité de certification a émis un certificat faisant référence à cette partition. Autorité de certification privée AWS écrit également une CRL complète dans le bucket peu après la configuration de la CRL, même si l'autorité de certification n'a émis aucun certificat. CA-ID.crl Si l'autorité de certification a toujours utilisé des CRL partitionnées, aucun certificat ne fait référence à cette CRL. Elle est donc toujours vide et vous pouvez l'ignorer.

Politiques d'accès pour les CRL dans Amazon S3

Si vous envisagez de créer une CRL, vous devez préparer un compartiment Amazon S3 dans lequel la stocker. Autorité de certification privée AWS dépose automatiquement la CRL dans le compartiment Amazon S3 que vous désignez et la met à jour régulièrement. Pour plus d’informations, consultez Créer un compartiment.

Votre compartiment S3 doit être sécurisé par une politique d'autorisations IAM attachée. Les utilisateurs autorisés et les responsables de service doivent être Put autorisés Autorité de certification privée AWS à placer des objets dans le compartiment et Get à les récupérer.

Note

La configuration de la politique IAM dépend de ce qui est Régions AWS impliqué. Les régions se répartissent en deux catégories :

  • Default-enabled Régions  : régions activées par défaut pour tous Comptes AWS.

  • Default-disabled Régions  : régions désactivées par défaut, mais qui peuvent être activées manuellement par le client.

Pour plus d'informations et une liste des régions désactivées par défaut, consultez la section Gestion. Régions AWS Pour une discussion sur les principaux de service dans le contexte de l'IAM, voir les directeurs de AWS service dans les régions optionnelles.

Lorsque vous configurez des CRL comme méthode de révocation de certificat, Autorité de certification privée AWS créez une CRL et publiez-la dans un compartiment S3. Le compartiment S3 nécessite une politique IAM qui permet au principal Autorité de certification privée AWS de service d'écrire dans le compartiment. Le nom du principal de service varie en fonction des régions utilisées, et toutes les possibilités ne sont pas prises en charge.

PCA S3 Principal du service

Les deux dans la même région

acm-pca.amazonaws.com

Activé

Activé

acm-pca.amazonaws.com
Désactivé Activé

acm-pca.Region.amazonaws.com
Activé Désactivé

Non pris en charge

La politique par défaut n'applique aucune SourceArn restriction à l'autorité de certification. Nous vous recommandons d'appliquer une politique moins permissive, telle que la suivante, qui restreint l'accès à un AWS compte spécifique et à une autorité de certification privée spécifique. Vous pouvez également utiliser la clé de condition aws : SourceOrg ID pour restreindre l'accès à une organisation spécifique dans AWS Organizations. Pour plus d'informations sur les politiques relatives aux compartiments, consultez la section Politiques relatives aux compartiments pour Amazon Simple Storage Service.

Si vous choisissez d'autoriser la politique par défaut, vous pourrez toujours la https://docs.aws.amazon.com/AmazonS3/latest/userguide/add-bucket-policy.html modifier ultérieurement.

Activez l'accès public par blocs S3 (BPA) avec CloudFront

Les nouveaux compartiments Amazon S3 sont configurés par défaut avec la fonctionnalité Block Public Access (BPA) activée. Inclus dans les meilleures pratiques de sécurité d'Amazon S3, le BPA est un ensemble de contrôles d'accès que les clients peuvent utiliser pour affiner l'accès aux objets de leurs compartiments S3 et aux compartiments dans leur ensemble. Lorsque le BPA est actif et correctement configuré, seuls les AWS utilisateurs autorisés et authentifiés ont accès à un bucket et à son contenu.

AWS recommande d'utiliser du BPA sur tous les compartiments S3 afin d'éviter l'exposition d'informations sensibles à des adversaires potentiels. Cependant, une planification supplémentaire est requise si vos clients PKI récupèrent des CRL sur Internet public (c'est-à-dire lorsqu'ils ne sont pas connectés à un AWS compte). Cette section décrit comment configurer une solution PKI privée à l'aide d'Amazon CloudFront, un réseau de diffusion de contenu (CDN), pour diffuser des CRL sans nécessiter d'accès client authentifié à un compartiment S3.

Note

L'utilisation CloudFront entraîne des frais supplémentaires sur votre AWS compte. Pour plus d'informations, consultez la page CloudFront Tarification Amazon.

Si vous choisissez de stocker votre CRL dans un compartiment S3 avec le BPA activé et que vous ne l'utilisez pas CloudFront, vous devez créer une autre solution CDN pour vous assurer que votre client PKI a accès à votre CRL.

Configuration CloudFront pour le BPA

Créez une CloudFront distribution qui aura accès à votre compartiment S3 privé et qui pourra diffuser des CRL à des clients non authentifiés.

Pour configurer une CloudFront distribution pour la CRL

  1. Créez une nouvelle CloudFront distribution en suivant la procédure décrite dans Création d'une distribution dans l'Amazon CloudFront Developer Guide.

    Au cours de la procédure, appliquez les paramètres suivants :

    • Dans Origin Domain Name, choisissez votre compartiment S3.

    • Choisissez Oui pour Restreindre l'accès au bucket.

    • Choisissez Créer une nouvelle identité pour Origin Access Identity.

    • Choisissez Oui, mettez à jour la politique du bucket sous Accorder des autorisations de lecture sur le bucket.

      Note

      Dans cette procédure, CloudFront modifie votre politique de compartiment pour lui permettre d'accéder aux objets du compartiment. Envisagez de modifier cette règle pour autoriser l'accès uniquement aux objets du crl dossier.

  2. Une fois la distribution initialisée, localisez son nom de domaine dans la CloudFront console et enregistrez-le pour la procédure suivante.

    Note

    Si votre compartiment S3 vient d'être créé dans une région autre que us-east-1, vous risquez de recevoir une erreur de redirection temporaire HTTP 307 lorsque vous accédez à votre application publiée via. CloudFront La propagation de l'adresse du bucket peut prendre plusieurs heures.

Configurez votre CA pour le BPA

Lors de la configuration de votre nouvelle autorité de certification, incluez l'alias dans votre CloudFront distribution.

Pour configurer votre autorité de certification avec un CNAME pour CloudFront

  • Créez votre CA à l'aide deCréez une autorité de certification privée dans CA privée AWS.

    Lorsque vous exécutez la procédure, le fichier de révocation revoke_config.txt doit inclure les lignes suivantes pour spécifier un objet CRL non public et fournir une URL vers le point de terminaison de distribution dans : CloudFront

    "S3ObjectAcl":"BUCKET_OWNER_FULL_CONTROL",
	"CustomCname":"abcdef012345.cloudfront.net"

    Par la suite, lorsque vous émettrez des certificats avec cette autorité de certification, ceux-ci contiendront un bloc comme le suivant :

    X509v3 CRL Distribution Points: 
	Full Name:
	URI:http://abcdef012345.cloudfront.net/crl/01234567-89ab-cdef-0123-456789abcdef.crl
Note

Si vous possédez d'anciens certificats émis par cette autorité de certification, elle ne pourra pas accéder à la CRL.

Déterminer l'URI du point de distribution CRL (CDP)

Si vous devez utiliser l'URI du point de distribution CRL (CDP) dans votre flux de travail, vous pouvez émettre un certificat en utilisant l'URI CRL sur ce certificat ou utiliser la méthode suivante. Cela ne fonctionne que pour les CRL complètes. Un GUID aléatoire est ajouté aux CRL partitionnées.

Si vous utilisez le compartiment S3 comme point de distribution CRL (CDP) pour votre autorité de certification, l'URI CDP peut être dans l'un des formats suivants.

  • http://amzn-s3-demo-bucket.s3.region-code.amazonaws.com/crl/CA-ID.crl

  • http://s3.region-code.amazonaws.com/amzn-s3-demo-bucket/crl/CA-ID.crl

Si vous avez configuré votre autorité de certification avec un CNAME personnalisé, l'URI CDP inclura le CNAME, par exemple, http://alternative.example.com/crl/CA-ID.crl

Par défaut, Autorité de certification privée AWS écrit les extensions CDP à l'aide de points de IPv4-only amazonaws.com terminaison régionaux. Pour utiliser les CRL sur IPv6, effectuez l'une des étapes suivantes afin que les CDP soient écrits avec des URL pointant vers les points de terminaison dualstack de S3 :

  • Définissez le nom personnalisé de votre CRL sur le domaine de point de terminaison S3 Dualstack. Par exemple, bucketname.s3.dualstack.region-code.amazonaws.com

  • Configurez votre propre enregistrement DNS CNAME pointant vers le point de terminaison S3 dualstack approprié, puis utilisez-le comme nom personnalisé pour votre CRL