Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Buat CA pribadi di AWS Private CA
Anda dapat menggunakan prosedur di bagian ini untuk membuat root CAs atau bawahanCAs, menghasilkan hierarki hubungan kepercayaan yang dapat diaudit yang sesuai dengan kebutuhan organisasi Anda. Anda dapat membuat CA menggunakan AWS Management Console, PCA bagian dari AWS CLI, atau AWS CloudFormation.
Untuk informasi tentang memperbarui konfigurasi CA yang telah Anda buat, lihatPerbarui CA pribadi di AWS Private Certificate Authority.
Untuk informasi tentang cara menggunakan CA untuk menandatangani sertifikat entitas akhir untuk pengguna, perangkat, dan aplikasi, lihat Menerbitkan sertifikat entitas akhir pribadi.
catatan
Akun Anda akan dikenakan harga bulanan untuk setiap CA privat mulai sejak Anda membuatnya.
Untuk informasi AWS Private CA harga terbaru, lihat AWS Private Certificate Authority Harga
CLIcontoh untuk membuat CA pribadi
Contoh berikut mengasumsikan bahwa Anda telah menyiapkan direktori .aws konfigurasi dengan Region, endpoint, dan kredensial default yang valid. Untuk informasi tentang mengonfigurasi AWS CLI lingkungan Anda, lihat Konfigurasi dan pengaturan file kredenal. Untuk keterbacaan, kami menyediakan konfigurasi CA dan input pencabutan sebagai JSON file dalam perintah contoh. Ubah file contoh sesuai kebutuhan untuk Anda gunakan.
Semua contoh menggunakan file ca_config.txt konfigurasi berikut kecuali dinyatakan lain.
Berkas: ca_config.txt
{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"Sales", "State":"WA", "Locality":"Seattle", "CommonName":"www.example.com" } }
Contoh 1: Buat CA dengan OCSP diaktifkan
Dalam contoh ini, file pencabutan mengaktifkan OCSP dukungan default, yang menggunakan AWS Private CA responden untuk memeriksa status sertifikat.
File: revoke_config.txt untuk OCSP
{ "OcspConfiguration":{ "Enabled":true } }
Perintah
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA
Jika berhasil, perintah ini mengeluarkan Amazon Resource Name (ARN) dari CA baru.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:region:account:
certificate-authority/CA_ID"
}Perintah
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-2
Jika berhasil, perintah ini mengeluarkan Amazon Resource Name (ARN) dari CA.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Gunakan perintah berikut untuk memeriksa konfigurasi CA Anda.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Deskripsi ini harus berisi bagian berikut.
"RevocationConfiguration": {
...
"OcspConfiguration": {
"Enabled": true
}
...
}Contoh 2: Buat CA dengan OCSP dan kustom CNAME diaktifkan
Dalam contoh ini, file pencabutan memungkinkan dukungan yang disesuaikanOCSP. OcspCustomCnameParameter mengambil nama domain yang sepenuhnya memenuhi syarat (FQDN) sebagai nilainya.
Ketika Anda memberikan FQDN di bidang ini, AWS Private CA masukkan FQDN ke dalam ekstensi Akses Informasi Otoritas dari setiap sertifikat yang dikeluarkan sebagai pengganti default URL untuk AWS OCSP responden. Ketika titik akhir menerima sertifikat yang berisi kustomFQDN, ia menanyakan alamat tersebut untuk responsOCSP. Agar mekanisme ini berfungsi, Anda perlu mengambil dua tindakan tambahan:
-
Gunakan server proxy untuk meneruskan lalu lintas yang tiba di kustom Anda FQDN ke AWS OCSP responden.
-
Tambahkan CNAME catatan yang sesuai ke DNS database Anda.
Tip
Untuk informasi selengkapnya tentang penerapan OCSP solusi lengkap menggunakan kustomCNAME, lihatSesuaikan OCSP URL untuk AWS Private CA.
Misalnya, berikut adalah CNAME catatan untuk disesuaikan OCSP seperti yang akan muncul di Amazon Route 53.
| Nama catatan | Tipe | Kebijakan perutean | Diferensiator | Nilai/Rutekan lalu lintas ke |
|---|---|---|---|---|
|
alternatif.example.com |
CNAME | Sederhana | - | proxy.example.com |
catatan
Nilai tidak CNAME boleh menyertakan awalan protokol seperti “http://” atau “https://”.
File: revoke_config.txt untuk OCSP
{ "OcspConfiguration":{ "Enabled":true, "OcspCustomCname":"alternative.example.com" } }
Perintah
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-3
Jika berhasil, perintah ini mengeluarkan Amazon Resource Name (ARN) dari CA.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Gunakan perintah berikut untuk memeriksa konfigurasi CA Anda.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Deskripsi ini harus berisi bagian berikut.
"RevocationConfiguration": {
...
"OcspConfiguration": {
"Enabled": true,
"OcspCustomCname": "alternative.example.com"
}
...
}Contoh 3: Buat CA dengan terlampir CRL
Dalam contoh ini, konfigurasi pencabutan mendefinisikan CRL parameter.
Berkas: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "S3BucketName":"amzn-s3-demo-bucket" } }
Perintah
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
Jika berhasil, perintah ini mengeluarkan Amazon Resource Name (ARN) dari CA.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Gunakan perintah berikut untuk memeriksa konfigurasi CA Anda.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Deskripsi ini harus berisi bagian berikut.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"S3BucketName": "amzn-s3-demo-bucket"
},
...
}Contoh 4: Buat CA dengan lampiran CRL dan kustom CNAME diaktifkan
Dalam contoh ini, konfigurasi pencabutan mendefinisikan CRL parameter yang menyertakan kustom. CNAME
Berkas: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "CustomCname": "alternative.example.com", "S3BucketName":"amzn-s3-demo-bucket" } }
Perintah
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
Jika berhasil, perintah ini mengeluarkan Amazon Resource Name (ARN) dari CA.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Gunakan perintah berikut untuk memeriksa konfigurasi CA Anda.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Deskripsi ini harus berisi bagian berikut.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"CustomCname": "alternative.example.com",
"S3BucketName": "amzn-s3-demo-bucket",
...
}
}Contoh 5: Buat CA dan tentukan mode penggunaan
Dalam contoh ini, mode penggunaan CA ditentukan saat membuat CA. Jika tidak ditentukan, parameter mode penggunaan default ke _. GENERAL PURPOSE Dalam contoh ini, parameter diatur ke SHORT _ LIVED _CERTIFICATE, yang berarti bahwa CA akan mengeluarkan sertifikat dengan masa berlaku maksimum tujuh hari. Dalam situasi di mana tidak nyaman untuk mengonfigurasi pencabutan, sertifikat berumur pendek yang telah dikompromikan dengan cepat kedaluwarsa sebagai bagian dari operasi normal. Akibatnya, contoh CA ini tidak memiliki mekanisme pencabutan.
catatan
AWS Private CA tidak melakukan pemeriksaan validitas pada sertifikat CA root.
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --certificate-authority-type "ROOT" \ --usage-mode SHORT_LIVED_CERTIFICATE \ --tags Key=usageMode,Value=SHORT_LIVED_CERTIFICATE
Gunakan describe-certificate-authorityperintah di AWS CLI untuk menampilkan rincian tentang CA yang dihasilkan, seperti yang ditunjukkan pada perintah berikut:
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn arn:aws:acm:region:account:certificate-authority/CA_ID
{ "CertificateAuthority":{ "Arn":"arn:aws:acm-pca:region:account:certificate-authority/CA_ID", "CreatedAt":"2022-09-30T09:53:42.769000-07:00", "LastStateChangeAt":"2022-09-30T09:53:43.784000-07:00", "Type":"ROOT", "UsageMode":"SHORT_LIVED_CERTIFICATE", "Serial":"serial_number", "Status":"PENDING_CERTIFICATE", "CertificateAuthorityConfiguration":{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"Sales", "State":"WA", "Locality":"Seattle", "CommonName":"www.example.com" } }, "RevocationConfiguration":{ "CrlConfiguration":{ "Enabled":false }, "OcspConfiguration":{ "Enabled":false } }, ...
Contoh 6: Buat CA untuk login Active Directory
Anda dapat membuat CA pribadi yang cocok untuk digunakan di NTAuth toko Enterprise Microsoft Active Directory (AD), di mana ia dapat mengeluarkan sertifikat card-logon atau domain-controller. Untuk informasi tentang mengimpor sertifikat CA ke AD, lihat Cara mengimpor sertifikat otoritas sertifikasi pihak ketiga (CA) ke dalam NTAuth toko Perusahaan
Alat Microsoft certutil
Contoh ini menggunakan file ca_config_AD.txt konfigurasi berikut.
Berkas: ca_config_AD.txt
{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "CustomAttributes":[ { "ObjectIdentifier":"2.5.4.3", "Value":"root CA" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"example" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"com" } ] } }
Perintah
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config_AD.txt\ --certificate-authority-type "ROOT" \ --tags Key=application,Value=ActiveDirectory
Jika berhasil, perintah ini mengeluarkan Amazon Resource Name (ARN) dari CA.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Gunakan perintah berikut untuk memeriksa konfigurasi CA Anda.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Deskripsi ini harus berisi bagian berikut.
... "Subject":{ "CustomAttributes":[ { "ObjectIdentifier":"2.5.4.3", "Value":"root CA" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"example" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"com" } ] } ...
Contoh 7: Buat CA Materi dengan lampiran CRL dan CDP ekstensi dihilangkan dari sertifikat yang diterbitkan
Anda dapat membuat CA pribadi yang cocok untuk menerbitkan sertifikat untuk standar rumah pintar Matter. Dalam contoh ini, konfigurasi CA dalam ca_config_PAA.txt mendefinisikan Matter Product Attestation Authority (PAA) dengan Vendor ID (VID) disetel ke. FFF1
Berkas: PAA ca_config_ .txt
{ "KeyAlgorithm":"EC_prime256v1", "SigningAlgorithm":"SHA256WITHECDSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"SmartHome", "State":"WA", "Locality":"Seattle", "CommonName":"Example Corp Matter PAA", "CustomAttributes":[ { "ObjectIdentifier":"1.3.6.1.4.1.37244.2.1", "Value":"FFF1"} ] } }
Konfigurasi pencabutan memungkinkanCRLs, dan mengonfigurasi CA untuk menghilangkan default CDP URL dari sertifikat yang dikeluarkan.
Berkas: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "S3BucketName":"amzn-s3-demo-bucket", "CrlDistributionPointExtensionConfiguration":{ "OmitExtension":true } } }
Perintah
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config_PAA.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
Jika berhasil, perintah ini mengeluarkan Amazon Resource Name (ARN) dari CA.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Gunakan perintah berikut untuk memeriksa konfigurasi CA Anda.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Deskripsi ini harus berisi bagian berikut.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"S3BucketName": "amzn-s3-demo-bucket",
"CrlDistributionPointExtensionConfiguration":{
"OmitExtension":true
}
},
...
}
...