Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Buat CA pribadi di AWS Private CA
Anda dapat menggunakan prosedur di bagian ini untuk membuat CA root atau CA bawahan, menghasilkan hierarki hubungan kepercayaan yang dapat diaudit yang sesuai dengan kebutuhan organisasi Anda. Anda dapat membuat CA menggunakan Konsol Manajemen AWS, bagian PCA dari AWS CLI, atau AWS CloudFormation.
Untuk informasi tentang memperbarui konfigurasi CA yang telah Anda buat, lihatMemperbarui CA pribadi di AWS Private Certificate Authority.
Untuk informasi tentang cara menggunakan CA untuk menandatangani sertifikat entitas akhir untuk pengguna, perangkat, dan aplikasi, lihat Menerbitkan sertifikat entitas akhir pribadi.
catatan
Akun Anda akan dikenakan harga bulanan untuk setiap CA privat mulai sejak Anda membuatnya.
Untuk informasi AWS Private CA harga terbaru, lihat AWS Private Certificate Authority Harga
Contoh CLI untuk membuat CA pribadi
Contoh berikut mengasumsikan bahwa Anda telah mengatur direktori .aws konfigurasi Anda dengan Wilayah, titik akhir, dan kredenSIAL default yang valid. Untuk informasi tentang mengonfigurasi AWS CLI lingkungan Anda, lihat Konfigurasi dan pengaturan file kredensia. Untuk keterbacaan, kami menyediakan konfigurasi CA dan input pencabutan sebagai file JSON dalam contoh perintah. Ubah file contoh sesuai kebutuhan untuk Anda gunakan.
Semua contoh menggunakan file ca_config.txt konfigurasi berikut kecuali dinyatakan lain.
Berkas: ca_config.txt
{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"Sales", "State":"WA", "Locality":"Seattle", "CommonName":"www.example.com" } }
Contoh 1: Buat CA dengan OCSP diaktifkan
Dalam contoh ini, file pencabutan mengaktifkan dukungan OCSP default, yang menggunakan AWS Private CA responder untuk memeriksa status sertifikat.
Berkas: revoke_config.txt untuk OCSP
{ "OcspConfiguration":{ "Enabled":true } }
Perintah
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA
Jika berhasil, perintah ini akan menghasilkan Amazon Resource Name (ARN) dari CA baru.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:region:account:
certificate-authority/CA_ID"
}Perintah
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-2
Jika berhasil, perintah ini menampilkan Amazon Resource Name (ARN) dari CA.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Gunakan perintah berikut untuk memeriksa konfigurasi CA Anda.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Deskripsi ini harus berisi bagian berikut.
"RevocationConfiguration": {
...
"OcspConfiguration": {
"Enabled": true
}
...
}Contoh 2: Buat CA dengan OCSP dan CNAME kustom diaktifkan
Dalam contoh ini, file pencabutan memungkinkan dukungan OCSP yang disesuaikan. OcspCustomCnameParameter mengambil nama domain yang sepenuhnya memenuhi syarat (FQDN) sebagai nilainya.
Saat Anda memberikan FQDN di bidang ini, AWS Private CA masukkan FQDN ke ekstensi Akses Informasi O toritas dari setiap sertifikat yang dikeluarkan sebagai pengganti URL default untuk responder OCSP. AWS Ketika titik akhir menerima sertifikat yang berisi FQDN kustom, ia menanyakan alamat tersebut untuk respon OCSP. Agar mekanisme ini berfungsi, Anda perlu mengambil dua tindakan tambahan:
-
Gunakan server proxy untuk meneruskan lalu lintas yang tiba di FQDN kustom Anda ke responder AWS OCSP.
-
Tambahkan catatan CNAME yang sesuai ke database DNS Anda.
Tip
Untuk informasi selengkapnya tentang menerapkan solusi OCSP lengkap menggunakan CNAME kustom, lihat. Sesuaikan URL OCSP untuk AWS Private CA
Misalnya, berikut adalah catatan CNAME untuk OCSP yang disesuaikan seperti yang akan muncul di Amazon Route 53.
| Nama catatan | Tipe | Kebijakan perutean | Pembeda | Value/Route lalu lintas ke |
|---|---|---|---|---|
|
alternatif.example.com |
CNAME | Sederhana | - | proxy.example.com |
catatan
Nilai CNAME tidak boleh menyertakan awalan protokol seperti “http://” atau “https://”.
Berkas: revoke_config.txt untuk OCSP
{ "OcspConfiguration":{ "Enabled":true, "OcspCustomCname":"alternative.example.com" } }
Perintah
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-3
Jika berhasil, perintah ini menampilkan Amazon Resource Name (ARN) dari CA.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Gunakan perintah berikut untuk memeriksa konfigurasi CA Anda.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Deskripsi ini harus berisi bagian berikut.
"RevocationConfiguration": {
...
"OcspConfiguration": {
"Enabled": true,
"OcspCustomCname": "alternative.example.com"
}
...
}Contoh 3: Buat CA dengan CRL terlampir
Dalam contoh ini, konfigurasi pencabutan mendefinisikan parameter CRL.
Berkas: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "S3BucketName":"amzn-s3-demo-bucket" } }
Perintah
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
Jika berhasil, perintah ini menampilkan Amazon Resource Name (ARN) dari CA.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Gunakan perintah berikut untuk memeriksa konfigurasi CA Anda.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Deskripsi ini harus berisi bagian berikut.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"S3BucketName": "amzn-s3-demo-bucket"
},
...
}Contoh 4: Buat CA dengan CRL terlampir dan CNAME kustom diaktifkan
Dalam contoh ini, konfigurasi pencabutan mendefinisikan parameter CRL yang menyertakan CNAME kustom.
Berkas: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "CustomCname": "alternative.example.com", "S3BucketName":"amzn-s3-demo-bucket" } }
Perintah
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
Jika berhasil, perintah ini menampilkan Amazon Resource Name (ARN) dari CA.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Gunakan perintah berikut untuk memeriksa konfigurasi CA Anda.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Deskripsi ini harus berisi bagian berikut.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"CustomCname": "alternative.example.com",
"S3BucketName": "amzn-s3-demo-bucket",
...
}
}Contoh 5: Buat CA dan tentukan mode penggunaan
Dalam contoh ini, mode penggunaan CA ditentukan saat membuat CA. Jika tidak ditentukan, parameter mode penggunaan default ke GENERAL_PURPOSE. Dalam contoh ini, parameter diatur ke SHORT_LIVED_CERTIFICATE, yang berarti bahwa CA akan mengeluarkan sertifikat dengan masa berlaku maksimum tujuh hari. Dalam situasi di mana tidak nyaman untuk mengkonfigurasi pencabutan, sertifikat berumur pendek yang telah dikompromikan dengan cepat kedaluwarsa sebagai bagian dari operasi normal. Akibatnya, contoh CA ini tidak memiliki mekanisme pencabutan.
catatan
AWS Private CA tidak melakukan pemeriksaan validitas pada sertifikat CA root.
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --certificate-authority-type "ROOT" \ --usage-mode SHORT_LIVED_CERTIFICATE \ --tags Key=usageMode,Value=SHORT_LIVED_CERTIFICATE
Gunakan describe-certificate-authority perintah di AWS CLI untuk menampilkan detail tentang CA yang dihasilkan, seperti yang ditunjukkan pada perintah berikut:
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn arn:aws:acm:region:account:certificate-authority/CA_ID
{ "CertificateAuthority":{ "Arn":"arn:aws:acm-pca:region:account:certificate-authority/CA_ID", "CreatedAt":"2022-09-30T09:53:42.769000-07:00", "LastStateChangeAt":"2022-09-30T09:53:43.784000-07:00", "Type":"ROOT", "UsageMode":"SHORT_LIVED_CERTIFICATE", "Serial":"serial_number", "Status":"PENDING_CERTIFICATE", "CertificateAuthorityConfiguration":{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"Sales", "State":"WA", "Locality":"Seattle", "CommonName":"www.example.com" } }, "RevocationConfiguration":{ "CrlConfiguration":{ "Enabled":false }, "OcspConfiguration":{ "Enabled":false } }, ...
Contoh 6: Buat CA untuk login Active Directory
Anda dapat membuat CA pribadi yang cocok untuk digunakan di penyimpanan NTAuth Enterprise Microsoft Active Directory (AD), di mana ia dapat mengeluarkan sertifikat logon kartu atau pengontrol domain. Untuk informasi tentang mengimpor sertifikat CA ke AD, lihat Cara mengimpor sertifikat otoritas sertifikasi pihak ketiga (CA) ke penyimpanan NTAuth Enterprise.
Alat Microsoft
Contoh ini menggunakan file ca_config_AD.txt konfigurasi berikut.
Berkas: ca_config_ AD.txt
{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "CustomAttributes":[ { "ObjectIdentifier":"2.5.4.3", "Value":"root CA" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"example" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"com" } ] } }
Perintah
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config_AD.txt\ --certificate-authority-type "ROOT" \ --tags Key=application,Value=ActiveDirectory
Jika berhasil, perintah ini menampilkan Amazon Resource Name (ARN) dari CA.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Gunakan perintah berikut untuk memeriksa konfigurasi CA Anda.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Deskripsi ini harus berisi bagian berikut.
... "Subject":{ "CustomAttributes":[ { "ObjectIdentifier":"2.5.4.3", "Value":"root CA" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"example" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"com" } ] } ...
Contoh 7: Buat CA Matter dengan CRL terlampir dan ekstensi CDP dihilangkan dari sertifikat yang dikeluarkan
Anda dapat membuat CA pribadi yang cocok untuk mengeluarkan sertifikat untuk standar rumah pintar Matter. Dalam contoh ini, konfigurasi CA men ca_config_PAA.txt definisikan Otoritas Pengesahan Produk Matter (PAA) dengan ID Vendor (VID) disetel ke FFF1.
Berkas: ca_config_ PAA.txt
{ "KeyAlgorithm":"EC_prime256v1", "SigningAlgorithm":"SHA256WITHECDSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"SmartHome", "State":"WA", "Locality":"Seattle", "CommonName":"Example Corp Matter PAA", "CustomAttributes":[ { "ObjectIdentifier":"1.3.6.1.4.1.37244.2.1", "Value":"FFF1"} ] } }
Konfigurasi pencabutan mengaktifkan CRL, dan mengonfigurasi CA untuk menghilangkan URL CDP default dari sertifikat yang dikeluarkan.
Berkas: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "S3BucketName":"amzn-s3-demo-bucket", "CrlDistributionPointExtensionConfiguration":{ "OmitExtension":true } } }
Perintah
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config_PAA.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
Jika berhasil, perintah ini menampilkan Amazon Resource Name (ARN) dari CA.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}Gunakan perintah berikut untuk memeriksa konfigurasi CA Anda.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
Deskripsi ini harus berisi bagian berikut.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"S3BucketName": "amzn-s3-demo-bucket",
"CrlDistributionPointExtensionConfiguration":{
"OmitExtension":true
}
},
...
}
...