View a markdown version of this page

Siapkan CRL untuk AWS Private CA - AWS Private Certificate Authority
Jenis CRLStruktur CRLKebijakan akses untuk CRL di Amazon S3S3 BPA dengan CloudFrontMenentukan URI Titik Distribusi CRL (CDP)

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Siapkan CRL untuk AWS Private CA

Sebelum Anda dapat mengonfigurasi daftar pencabutan sertifikat (CRL) sebagai bagian dari proses pembuatan CA, beberapa pengaturan sebelumnya mungkin diperlukan. Bagian ini menjelaskan prasyarat dan opsi yang harus Anda pahami sebelum membuat CA dengan CRL terlampir.

Untuk informasi tentang menggunakan Protokol Status Sertifikat Online (OCSP) sebagai alternatif atau suplemen untuk CRL, lihat Certificate revocation options dan. Sesuaikan URL OCSP untuk AWS Private CA

Jenis CRL

  • Selesai - Pengaturan default. AWS Private CA memelihara satu file CRL yang tidak dipartisi untuk semua sertifikat yang belum kedaluwarsa yang dikeluarkan oleh CA yang telah dicabut. Setiap sertifikat yang dikeluarkan AWS Private CA terikat pada CRL tertentu melalui ekstensi titik distribusi CRL (CDP), sebagaimana didefinisikan dalam RFC 5280. Anda dapat memiliki hingga 1 juta sertifikat pribadi untuk setiap CA dengan CRL lengkap diaktifkan. Untuk informasi lebih lanjut, lihat ku AWS Private CA ota.

  • Dipartisi - Dibandingkan dengan CRL lengkap, CRL yang dipartisi secara dramatis meningkatkan jumlah sertifikasi yang dapat dikeluarkan CA pribadi Anda, dan menyelamatkan Anda dari sering memutar CA Anda.

    penting

    Saat menggunakan CRL yang dipartisi, Anda harus memvalidasi bahwa URI titik distribusi penerbit (IDP) terkait CRL cocok dengan URI CDP sertifikasi untuk memastikan CRL yang tepat telah diambil. AWS Private CA menandai ekstensi IDP sebagai kritis, yang harus dapat diproses oleh klien Anda.

Struktur CRL

Setiap CRL adalah file DER yang dikodekan. Untuk mengunduh file dan menggunakan OpenSSL untuk melihatnya, gunakan perintah yang mirip dengan berikut ini:

openssl crl -inform DER -in path-to-crl-file -text -noout

CRL memiliki format sebagai berikut:

Certificate Revocation List (CRL):
		        Version 2 (0x1)
		    Signature Algorithm: sha256WithRSAEncryption
		        Issuer: /C=US/ST=WA/L=Seattle/O=Example Company CA/OU=Corporate/CN=www.example.com
		        Last Update: Feb 26 19:28:25 2018 GMT
		        Next Update: Feb 26 20:28:25 2019 GMT
		        CRL extensions:
		            X509v3 Authority Key Identifier:
		                keyid:AA:6E:C1:8A:EC:2F:8F:21:BC:BE:80:3D:C5:65:93:79:99:E7:71:65
		
		            X509v3 CRL Number:
		                1519676905984
		Revoked Certificates:
		    Serial Number: E8CBD2BEDB122329F97706BCFEC990F8
		        Revocation Date: Feb 26 20:00:36 2018 GMT
		        CRL entry extensions:
		            X509v3 CRL Reason Code:
		                Key Compromise
		    Serial Number: F7D7A3FD88B82C6776483467BBF0B38C
		        Revocation Date: Jan 30 21:21:31 2018 GMT
		        CRL entry extensions:
		            X509v3 CRL Reason Code:
		                Key Compromise
		    Signature Algorithm: sha256WithRSAEncryption
		         82:9a:40:76:86:a5:f5:4e:1e:43:e2:ea:83:ac:89:07:49:bf:
		         c2:fd:45:7d:15:d0:76:fe:64:ce:7b:3d:bb:4c:a0:6c:4b:4f:
		         9e:1d:27:f8:69:5e:d1:93:5b:95:da:78:50:6d:a8:59:bb:6f:
		         49:9b:04:fa:38:f2:fc:4c:0d:97:ac:02:51:26:7d:3e:fe:a6:
		         c6:83:34:b4:84:0b:5d:b1:c4:25:2f:66:0a:2e:30:f6:52:88:
		         e8:d2:05:78:84:09:01:e8:9d:c2:9e:b5:83:bd:8a:3a:e4:94:
		         62:ed:92:e0:be:ea:d2:59:5b:c7:c3:61:35:dc:a9:98:9d:80:
		         1c:2a:f7:23:9b:fe:ad:6f:16:7e:22:09:9a:79:8f:44:69:89:
		         2a:78:ae:92:a4:32:46:8d:76:ee:68:25:63:5c:bd:41:a5:5a:
		         57:18:d7:71:35:85:5c:cd:20:28:c6:d5:59:88:47:c9:36:44:
		         53:55:28:4d:6b:f8:6a:00:eb:b4:62:de:15:56:c8:9c:45:d7:
		         83:83:07:21:84:b4:eb:0b:23:f2:61:dd:95:03:02:df:0d:0f:
		         97:32:e0:9d:38:de:7c:15:e4:36:66:7a:18:da:ce:a3:34:94:
		         58:a6:5d:5c:04:90:35:f1:8b:55:a9:3c:dd:72:a2:d7:5f:73:
		         5a:2c:88:85
catatan

Saat Anda mengonfigurasi CRL untuk CA, AWS Private CA tulis objek uji ke bucket Amazon S3 untuk memverifikasi bahwa objek tersebut memiliki izin untuk menulis ke bucket. Objek diberi namaacm-pca-permission-test-key, atau acm-pca-permission-test-key-private jika S3ObjectAcl disetel keBUCKET_OWNER_FULL_CONTROL.

Untuk CRL lengkap, AWS Private CA tulis CRL pertama ke bucket segera setelah Anda mengonfigurasi CRL, biasanya dalam waktu 30 menit, bahkan jika CA belum mengeluarkan sertifikat apa pun. CRL kosong sampai Anda mencabut sertifikat, dan memperbaruinya secara ber AWS Private CA kala.

Untuk CRL yang dipartisi, AWS Private CA tulis CRL untuk partisi hanya setelah CA mengeluarkan sertifikat yang mengacu pada partisi itu. AWS Private CA juga menulis CRL lengkap,CA-ID.crl, ke bucket segera setelah Anda mengkonfigurasi CRL, bahkan jika CA belum mengeluarkan sertifikat apa pun. Jika CA selalu menggunakan CRL yang dipartisi, tidak ada sertifikat yang mengacu pada CRL ini, jadi selalu kosong dan Anda dapat mengabaikannya.

Kebijakan akses untuk CRL di Amazon S3

Jika Anda berencana untuk membuat CRL, Anda perlu menyiapkan bucket Amazon S3 untuk menyimpannya. AWS Private CA secara otomatis menyimpan CRL di bucket Amazon S3 yang Anda tentukan dan memperbaruinya secara berkala. Untuk informasi selengkapnya, lihat Membuat bucket.

Bucket S3 Anda harus diamankan oleh kebijakan izin IAM terlampir. Pengguna resmi dan prinsipal layanan memerlukan Put izin untuk mengiz AWS Private CA inkan menempatkan objek dalam bucket, dan Get izin untuk mengambilnya.

catatan

Konfigurasi kebijakan IAM tergantung pada yang Wilayah AWS terlibat. Wilayah terbagi dalam dua kategori:

  • Default-enabled Wilayah — Wilayah yang diaktifkan secara default untuk semua Akun AWS.

  • Default-disabled Wilayah — Wilayah yang dinonaktifkan secara default, tetapi dapat diaktifkan secara manual oleh pelanggan.

Untuk informasi selengkapnya dan daftar Wilayah yang dinonaktifkan secara default, lihat Mengelola. Wilayah AWS Untuk diskusi tentang prinsipal layanan dalam konteks IAM, lihat prinsipal AWS layanan di Wilayah opt-in.

Saat Anda mengonfigurasi CRL sebagai metode pencabutan sertifikat, AWS Private CA membuat CRL dan menerbitkannya ke bucket S3. Bucket S3 memerlukan kebijakan IAM yang memungkinkan prinsi AWS Private CA pal layanan menulis ke bucket. Nama prinsipal layanan bervariasi sesuai dengan Wilayah yang digunakan, dan tidak semua kemungkinan didukung.

PCA S3 Pemimpin layanan

Keduanya di wilayah yang sama

acm-pca.amazonaws.com

Diaktifkan

Diaktifkan

acm-pca.amazonaws.com
Dinonaktifkan Diaktifkan

acm-pca.Region.amazonaws.com
Diaktifkan Dinonaktifkan

Tidak didukung

Kebijakan default tidak menerapkan SourceArn batasan pada CA. Kami menyarankan Anda menerapkan kebijakan yang kurang permisif seperti berikut ini, yang membatasi akses ke AWS akun tertentu dan CA pribadi tertentu. Atau, Anda dapat menggunakan kunci kondisi aws: SourceOrg ID untuk membatasi akses ke organisasi tertentu di AWS Organizations. Untuk informasi selengkapnya tentang kebijakan bucket, lihat Kebijakan Bucket untuk Layanan Penyimpanan Sederhana Amazon.

Jika Anda memilih untuk mengizinkan kebijakan default, Anda selalu dapat memodifik asinya nanti.

Aktifkan S3 Block Public Access (BPA) dengan CloudFront

Bucket Amazon S3 yang baru dikonfigurasi secara default dengan fitur Blokir Akses Publik (BPA) yang aktif. Termasuk dalam praktik terbaik keamanan Amazon S3, BPA adalah seperangkat kontrol akses yang dapat digunakan pelanggan untuk menyempurnakan akses ke objek di bucket S3 mereka dan ke bucket secara keseluruhan. Ketika BPA aktif dan dikonfigurasi dengan benar, hanya AWS pengguna yang berwenang dan diautentikasi yang memiliki akses ke bucket dan isinya.

AWS merekomendasikan penggunaan BPA pada semua bucket S3 untuk menghindari paparan informasi sensitif kepada musuh potensial. Namun, perencanaan tambahan diperlukan jika klien PKI Anda mengambil CRL di internet publik (yaitu, saat tidak masuk ke AWS akun). Bagian ini menjelaskan cara mengonfigurasi solusi PKI pribadi menggunakan Amazon CloudFront, jaringan pengiriman konten (CDN), untuk melayani CRL tanpa memerlukan akses klien yang diautentikasi ke bucket S3.

catatan

Penggunaan CloudFront menimbulkan biaya tambahan pada AWS akun Anda. Untuk informasi selengkapnya, lihat CloudFront Harga Amazon.

Jika Anda memilih untuk menyimpan CRL Anda dalam bucket S3 dengan BPA diaktifkan, dan Anda tidak menggunakannya CloudFront, Anda harus membangun solusi CDN lain untuk memastikan bahwa klien PKI Anda memiliki akses ke CRL Anda.

Siapkan CloudFront untuk BPA

Buat CloudFront distribusi yang akan memiliki akses ke bucket S3 pribadi Anda, dan dapat melayani CRL ke klien yang tidak diautentikasi.

Untuk mengkonfigurasi CloudFront distribusi untuk CRL

  1. Buat CloudFront distribusi baru menggunakan prosedur di Membuat Distribusi di Panduan CloudFront Pengembang Amazon.

    Saat menyelesaikan prosedur, terapkan pengaturan berikut:

    • Di Nama Domain Asal, pilih bucket S3 Anda.

    • Pilih Ya untuk Batasi Akses Bucket.

    • Pilih Buat Identitas Baru untuk Identitas Akses Asal.

    • Pilih Ya, Perbarui Kebijakan Bucket di bawah Berikan Izin Baca pada Bucket.

      catatan

      Dalam prosedur ini, mem CloudFront odifikasi kebijakan bucket Anda untuk mengizinkannya mengakses objek bucket. Pertimbangkan mengedit kebijakan ini untuk hanya mengizinkan akses ke objek di bawah folder crl.

  2. Setelah distribusi diinisialisasi, cari nama domainnya di CloudFront konsol dan simpan untuk prosedur berikutnya.

    catatan

    Jika bucket S3 Anda baru dibuat di Wilayah selain us-east-1, Anda mungkin mendapatkan kesalahan pengalihan sementara HTTP 307 saat mengakses aplikasi yang diterbitkan melalui. CloudFront Mungkin perlu beberapa jam agar alamat bucket disebarkan.

Siapkan CA Anda untuk BPA

Saat mengonfigurasi CA baru Anda, sertakan alias ke CloudFront distribusi Anda.

Untuk mengkonfigurasi CA Anda dengan CNAME untuk CloudFront

  • Buat CA Anda menggunakan Buat CA pribadi di AWS Private CA.

    Saat Anda melakukan prosedur, file pencabutan revoke_config.txt harus menyertakan baris berikut untuk menentukan objek CRL non-publik dan untuk memberikan URL ke titik akhir distribusi di: CloudFront

    "S3ObjectAcl":"BUCKET_OWNER_FULL_CONTROL",
	"CustomCname":"abcdef012345.cloudfront.net"

    Setelah itu, ketika Anda mengeluarkan sertifikat dengan CA ini, mereka akan berisi blok seperti berikut:

    X509v3 CRL Distribution Points: 
	Full Name:
	URI:http://abcdef012345.cloudfront.net/crl/01234567-89ab-cdef-0123-456789abcdef.crl
catatan

Jika Anda memiliki sertifikat yang lebih lama yang diterbitkan oleh CA ini, sertifikat tersebut akan dapat mengakses CRL.

Menentukan URI Titik Distribusi CRL (CDP)

Jika Anda perlu menggunakan URI CRL Distribution Point (CDP) di alur kerja Anda, Anda dapat mengeluarkan sertifikasi menggunakan URI CRL pada sertifikat itu atau menggunakan metode berikut. Ini hanya berfungsi untuk CRL lengkap. CRL yang dipartisi memiliki GUID acak yang ditambahkan padanya.

Jika Anda menggunakan bucket S3 sebagai CRL Distribution Point (CDP) untuk CA Anda, URI CDP dapat berada dalam salah satu format berikut.

  • http://amzn-s3-demo-bucket.s3.region-code.amazonaws.com/crl/CA-ID.crl

  • http://s3.region-code.amazonaws.com/amzn-s3-demo-bucket/crl/CA-ID.crl

Jika Anda telah mengonfigurasi CA Anda dengan CNAME khusus, URI CDP akan menyertakan CNAME, misalnya, http://alternative.example.com/crl/CA-ID.crl

Secara default, AWS Private CA menulis ekstensi CDP menggunakan titik akhir regional IPv4-onlyamazonaws.com. Untuk menggunakan CRL melalui IPv6, lakukan salah satu langkah berikut sehingga CDP ditulis dengan URL yang mengarah ke titik akhir dualstack S3:

  • Tetapkan nama kustom CRL Anda ke domain titik akhir S3 dualstack. Sebagai contoh, bucketname.s3.dualstack.region-code.amazonaws.com.

  • Siapkan catatan DNS CNAME Anda sendiri yang menunjuk ke titik akhir dualstack S3 yang relevan, lalu gunakan sebagai nama kustom CRL Anda