View a markdown version of this page

Membuat izin akun tunggal untuk pengguna IAM - AWS Private Certificate Authority
Menetapkan izin perpanjangan

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Membuat izin akun tunggal untuk pengguna IAM

Ketika administrator CA (yaitu, pemilik CA) dan penerbit sertifikat berada dalam satu AWS akun, praktik terbaik adalah memisahkan peran penerbit dan administrator dengan membuat pengguna AWS Identity and Access Management (IAM) dengan izin terbatas. Untuk informasi tentang menggunakan IAM dengan AWS Private CA, bersama dengan contoh izin, lihatIdentitas dan Manajemen Akses (IAM) untuk AWS Private Certificate Authority.

Single-account kasus 1: Menerbitkan sertifikat yang tidak dikelola

Dalam hal ini, pemilik akun membuat CA pribadi dan kemudian membuat pengguna IAM dengan izin untuk mengeluarkan sertifikat yang ditandatangani oleh CA pribadi. Pengguna IAM mengeluarkan sertifikat dengan memanggil AWS Private CA IssueCertificate API.

Menerbitkan sertifikat tidak terkelola

Sertifikat yang diterbitkan dengan cara ini tidak dikelola, yang berarti bahwa administrator harus mengekspornya dan menginstalnya di perangkat yang akan digunakan. Sertifikat tersebut juga harus diperbarui secara manual saat kedaluwarsa. Menerbitkan sertifikat menggunakan API ini memerlukan permintaan penandatanganan sertifikat (CSR) dan pasangan kunci yang dihasilkan di luar AWS Private CA oleh OpenSSL atau program serupa. Untuk informasi selengkapnya, lihat IssueCertificatedokumentasi https://docs.aws.amazon.com/privateca/latest/APIReference/API_IssueCertificate.html.

Single-account kasus 2: Menerbitkan sertifikat terkelola melalui ACM

Kasus kedua ini melibatkan operasi API dari ACM dan PCA. Pemilik akun membuat CA pribadi dan pengguna IAM seperti sebelumnya. Pemilik akun kemudian memberikan izin kepada prinsipal layanan ACM untuk memperbarui secara otomatis sertifikat apa pun yang ditandatangani oleh CA ini. Pengguna IAM kembali mengeluarkan sertifikat, tetapi kali ini dengan memanggil RequestCertificate API ACM, yang menangani CSR dan pembuatan kunci. Ketika sertifikat kedaluwarsa, ACM mengotomatiskan alur kerja pembaruan.

Menerbitkan sertifikat terkelola

Pemilik akun memiliki opsi untuk memberikan izin perpanjangan melalui konsol manajemen selama atau setelah pembuatan CA atau menggunakan CreatePermission API PCA. Sertifikat terkelola yang dibuat dari alur kerja ini tersedia untuk digunakan dengan AWS layanan yang terintegrasi dengan ACM.

Bagian berikut berisi prosedur untuk memberikan izin perpanjangan.

Menetapkan izin perpanjangan sertifikat untuk ACM

Dengan pembaruan terkelola di AWS Certificate Manager (ACM), Anda dapat mengotomatiskan proses pembaruan sertifikat untuk sertifikat publik dan pribadi. Agar ACM secara otomatis memperbarui sertifikat yang dihasilkan oleh CA privat, entitas keamanan layanan ACM harus diberikan semua kemungkinan izin oleh CA itu sendiri. Jika izin perpanjangan ini tidak tersedia untuk ACM, pemilik CA (atau perwakilan yang sah) harus menerbitkan ulang secara manual setiap sertifikat privat saat kedaluwarsa.

penting

Prosedur untuk menetapkan izin perpanjangan ini hanya berlaku jika pemilik CA dan penerbit sertifikat berada di AWS akun yang sama. Untuk skenario lintas akun, lihat Lampirkan kebijakan untuk akses lintas akun.

Izin perpanjangan dapat didelegasikan selama pembuatan CA privat atau diubah kapan saja setelah selama CA berada di negara bagian ACTIVE.

Anda dapat mengelola izin CA pribadi dari AWS Private CA Konsol, AWS Command Line Interface (AWS CLI), atau AWS Private CA API:

Untuk menetapkan izin CA privat untuk ACM (konsol)

  1. Masuk ke AWS akun Anda dan buka AWS Private CA konsol di https://console.aws.amazon.com/acm-pca/home.

  2. Pada halaman Otoritas sertifikat pribadi, pilih CA pribadi Anda dari daftar.

  3. Pilih T ind akan, Konfigurasikan izin CA.

  4. Pilih O torisasi akses ACM untuk memperbarui sertifikat yang diminta oleh akun ini.

  5. Pilih Simpan.

Untuk mengelola izin ACM di AWS Private CA (AWS CLI)

Gunakan perintah create-permission untuk menentapkan izin ke ACM. Anda harus menetapkan izin yang diperlukan (IssueCertificate, GetCertificate, dan ListPermissions) agar ACM otomatis memperpanjang sertifikat Anda.

$ aws acm-pca create-permission \
     --certificate-authority-arn arn:aws:acm-pca:region:account:certificate-authority/CA_ID \
     --actions IssueCertificate GetCertificate ListPermissions \
     --principal acm.amazonaws.com

Gunakan perintah list-permissions untuk membuat daftar izin yang didelegasikan oleh CA.

$ aws acm-pca list-permissions \
     --certificate-authority-arn arn:aws:acm-pca:region:account:certificate-authority/CA_ID

Gunakan perintah delete-permissions untuk mencabut izin yang ditetapkan oleh CA ke prinsipal layanan. AWS 

$ aws acm-pca delete-permission \
     --certificate-authority-arn arn:aws:acm-pca:region:account:certificate-authority/CA_ID \
     --principal acm.amazonaws.com