Personnaliser l'URL OCSP pour AWS Private CA - AWS Private Certificate Authority

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Personnaliser l'URL OCSP pour AWS Private CA

Note

Cette rubrique s'adresse aux clients qui souhaitent personnaliser l'URL publique du point de terminaison du protocole OCSP (Online Certificate Status Protocol) à des fins de personnalisation ou à d'autres fins. Si vous envisagez d'utiliser la configuration par défaut de l'OCSP Autorité de certification privée AWS géré, vous pouvez ignorer cette rubrique et suivre les instructions de configuration de la section Configurer la révocation.

Par défaut, lorsque vous activez OCSP pour Autorité de certification privée AWS, chaque certificat que vous émettez contient l'URL du répondeur AWS OCSP. Cela permet aux clients demandant une connexion sécurisée par chiffrement d'envoyer directement des requêtes de validation OCSP à. AWS Cependant, dans certains cas, il peut être préférable d'indiquer une URL différente dans vos certificats tout en soumettant des requêtes OCSP à AWS.

Note

Pour plus d'informations sur l'utilisation d'une liste de révocation de certificats (CRL) comme alternative ou complément à l'OCSP, voir Configurer la révocation et Planifier une liste de révocation de certificats (CRL).

Trois éléments sont impliqués dans la configuration d'une URL personnalisée pour OCSP.

Le schéma suivant illustre la façon dont ces éléments fonctionnent ensemble.

Topologie OCSP personnalisée

Comme le montre le schéma, le processus de validation OCSP personnalisé comprend les étapes suivantes :

  1. Le client interroge le DNS pour le domaine cible.

  2. Le client reçoit l'adresse IP cible.

  3. Le client ouvre une connexion TCP avec la cible.

  4. Le client reçoit le certificat TLS cible.

  5. Le client interroge le DNS pour le domaine OCSP indiqué dans le certificat.

  6. Le client reçoit l'adresse IP du proxy.

  7. Le client envoie une requête OCSP au proxy.

  8. Le proxy transmet la requête au répondeur OCSP.

  9. Le répondeur renvoie l'état du certificat au proxy.

  10. Le proxy transmet l'état du certificat au client.

  11. Si le certificat est valide, le client lance le handshake TLS.

Astuce

Cet exemple peut être implémenté à l'aide d'Amazon CloudFront et d'Amazon Route 53 une fois que vous avez configuré une autorité de certification comme décrit ci-dessus.

  1. Dans CloudFront, créez une distribution et configurez-la comme suit :

    • Créez un autre nom correspondant à votre CNAME personnalisé.

    • Liez votre certificat à celui-ci.

    • Définissez ocsp.acm-pca. <region>.amazonaws.com comme origine.

    • Appliquez la Managed-CachingDisabled politique.

    • Définissez la politique du protocole Viewer sur HTTP et HTTPS.

    • Définissez les méthodes HTTP autorisées sur GET, HEAD, OPTIONS, PUT, POST, PATCH, DELETE.

  2. Dans Route 53, créez un enregistrement DNS qui fait correspondre votre CNAME personnalisé à l'URL de la CloudFront distribution.