View a markdown version of this page

Utilizza certificati CA privati firmati esternamente - Autorità di certificazione privata AWS

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Utilizza certificati CA privati firmati esternamente

Se la radice di fiducia della gerarchia di CA privata deve essere una CA esterna a CA privata AWS, puoi creare e firmare automaticamente la tua CA root. In alternativa, è possibile ottenere un certificato emesso da una CA privato firmato da una CA privata esterna gestita dall'organizzazione. Qualunque sia la sua origine, è possibile utilizzare questa CA ottenuta esternamente per firmare un certificato CA subordinato privato che CA privata AWS gestisce.

Nota

Le procedure per la creazione o l'ottenimento di un fornitore esterno di servizi fiduciari non rientrano nell'ambito di questa guida.

Utilizzo di una CA principale esterna con CA privata AWS consente di applicare i vincoli relativi ai nomi delle CA come definiti nella Vincoli di nome sezione della RFC 5280. I vincoli di nome consentono agli amministratori CA di limitare i nomi degli oggetti nei certificati.

Se si intende firmare un certificato CA subordinato privato con una CA esterna, è necessario completare tre attività prima di disporre di una CA funzionante CA privata AWS:

  1. Genera una richiesta di firma del certificato (CSR).

  2. Invia la CSR all'autorità di firma esterna e restituiscila con un certificato firmato e una catena di certificati.

  3. Installa un certificato firmato in CA privata AWS.

Le procedure seguenti descrivono come completare queste attività utilizzando Console di gestione AWS o il AWS CLI.

Per ottenere e installare un certificato CA firmato esternamente (console)

  1. (Facoltativo) Se non sei già nella pagina dei dettagli della CA, apri CA privata AWS console all'indirizzo https://console.aws.amazon.com/acm-pca/home. Sul Autorità di certificazione private pagina, scegli una CA subordinata con stato Certificato in sospeso, Attivo, Disabili, o Scaduto.

  2. Scegli Azioni, Installa il certificato CA per aprire il Installa il certificato CA subordinato pagina.

  3. Sul Installa il certificato CA subordinato pagina, sotto Seleziona il tipo di CA, scegli CA privata esterna.

  4. Sotto CSR per questa CA, la console visualizza Base64-encoded Testo ASCII del CSR. È possibile copiare il testo utilizzando Copia pulsante o puoi scegliere Esporta CSR in un file e salvalo localmente.

    Nota

    Il formato esatto del testo CSR deve essere preservato durante le operazioni di copia e incolla.

  5. Se non è possibile eseguire immediatamente i passaggi offline per ottenere un certificato firmato dall'autorità di firma esterna, è possibile chiudere la pagina e tornare ad essa una volta in possesso di un certificato firmato e di una catena di certificati.

    Altrimenti, se sei pronto, esegui una delle seguenti operazioni:

    • Incolla il Base64-encoded Il testo ASCII del corpo del certificato e della catena di certificati nelle rispettive caselle di testo.

    • Scegli Carica per caricare il corpo del certificato e la catena di certificati dai file locali nelle rispettive caselle di testo.

  6. Scegli Conferma e installa.

Per ottenere e installare un certificato CA (CLI) firmato esternamente

  1. Utilizza il comando get-certificate-authority-csr per recuperare la richiesta di firma del certificato (CSR) per la CA privata. Se desideri inviare il CSR al tuo display, usa --output text opzione da eliminare CR/LF caratteri dalla fine di ogni riga. Per inviare la CSR a un file, utilizzare l'opzione di reindirizzamento (>) seguita da un nome file. 

    $ aws acm-pca get-certificate-authority-csr \
--certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
--output text

    Dopo aver salvato un CSR come file locale, è possibile esaminarlo utilizzando quanto segue OpenSSL comando: 

    openssl req -in path_to_CSR_file -text -noout

    Il comando precedente genera un output simile al seguente. Tieni presente che l'estensione CA è TRUE, il che indica che la CSR è per un certificato emesso da una CA. 

    Certificate Request:
Data:
Version: 0 (0x0)
Subject: O=ExampleCompany, OU=Corporate Office, CN=Example CA 1
Subject Public Key Info:
    Public Key Algorithm: rsaEncryption
        Public-Key: (2048 bit)
        Modulus:
            00:d4:23:51:b3:dd:01:09:01:0b:4c:59:e4:ea:81:
            1d:7f:48:36:ef:2a:e9:45:82:ec:95:1d:c6:d7:c9:
            7f:19:06:73:c5:cd:63:43:14:eb:c8:03:82:f8:7b:
            c7:89:e6:8d:03:eb:b6:76:58:70:f2:cb:c3:4c:67:
            ea:50:fd:b9:17:84:b8:60:2c:64:9d:2e:d5:7d:da:
            46:56:38:34:a9:0d:57:77:85:f1:6f:b8:ce:73:eb:
            f7:62:a7:8e:e6:35:f5:df:0c:f7:3b:f5:7f:bd:f4:
            38:0b:95:50:2c:be:7d:bf:d9:ad:91:c3:81:29:23:
            b2:5e:a6:83:79:53:f3:06:12:20:7e:a8:fa:18:d6:
            a8:f3:a3:89:a5:a3:6a:76:da:d0:97:e5:13:bc:84:
            a6:5c:d6:54:1a:f0:80:16:dd:4e:79:7b:ff:6d:39:
            b5:67:56:cb:02:6b:14:c3:17:06:0e:7d:fb:d2:7e:
            1c:b8:7d:1d:83:13:59:b2:76:75:5e:d1:e3:23:6d:
            8a:5e:f5:85:ca:d7:e9:a3:f1:9b:42:9f:ed:8a:3c:
            14:4d:1f:fc:95:2b:51:6c:de:8f:ee:02:8c:0c:b6:
            3e:2d:68:e5:f8:86:3f:4f:52:ec:a6:f0:01:c4:7d:
            68:f3:09:ae:b9:97:d6:fc:e4:de:58:58:37:09:9a:
            f6:27
        Exponent: 65537 (0x10001)
Attributes:
Requested Extensions:
    X509v3 Basic Constraints:
        CA:TRUE
Signature Algorithm: sha256WithRSAEncryption
 c5:64:0e:6c:cf:11:03:0b:b7:b8:9e:48:e1:04:45:a0:7f:cc:
 a7:fd:e9:4d:c9:00:26:c5:6e:d0:7e:69:7a:fb:17:1f:f3:5d:
 ac:f3:65:0a:96:5a:47:3c:c1:ee:45:84:46:e3:e6:05:73:0c:
 ce:c9:a0:5e:af:55:bb:89:46:21:92:7b:10:96:92:1b:e6:75:
 de:02:13:2d:98:72:47:bd:b1:13:1a:3d:bb:71:ae:62:86:1a:
 ee:ae:4e:f4:29:2e:d6:fc:70:06:ac:ca:cf:bb:ee:63:68:14:
 8e:b2:8f:e3:8d:e8:8f:e0:33:74:d6:cf:e2:e9:41:ad:b6:47:
 f8:2e:7d:0a:82:af:c6:d8:53:c2:88:a0:32:05:09:e0:04:8f:
 79:1c:ac:0d:d4:77:8e:a6:b2:5f:07:f8:1b:e3:98:d4:12:3d:
 28:32:82:b5:50:92:a4:b2:4c:28:fc:d2:73:75:75:ff:10:33:
 2c:c0:67:4b:de:fd:e6:69:1c:a8:bb:e8:31:93:07:35:69:b7:
 d6:53:37:53:d5:07:dd:54:35:74:50:50:f9:99:7d:38:b7:b6:
 7f:bd:6c:b8:e4:2a:38:e5:04:00:a8:a3:d9:e5:06:38:e0:38:
 4c:ca:a9:3c:37:6d:ba:58:38:11:9c:30:08:93:a5:62:00:18:
 d1:83:66:40

  2. Invia il CSR all'autorità di firma esterna e ottieni i file contenenti Base64 PEM-encoded certificato firmato e catena di certificati.

  3. Usa il import-certificate-autority-certificate comando in cui importare il file del certificato CA privato e il file della catena CA privata AWS.

    $ aws acm-pca import-certificate-authority-certificate \
--certificate-authority-arn arn:aws:acm-pca:region:account:\
certificate-authority/12345678-1234-1234-1234-123456789012 \
--certificate file://C:\example_ca_cert.pem \
--certificate-chain file://C:\example_ca_cert_chain.pem