View a markdown version of this page

Connettore per endpoint SCEP VPC (AWS PrivateLink) - Autorità di certificazione privata AWS
Considerazioni per gli endpoint Connector for SCEP VPCCreazione dell'endpoint VPC per Connector for SCEPCrea una policy sugli endpoint VPC per Connector for SCEPCreazione di un endpoint VPC per le operazioni di registrazione di Connector for SCEP

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Connettore per endpoint SCEP VPC (AWS PrivateLink)

Puoi creare una connessione privata tra il tuo VPC e Connector for SCEP configurando un endpoint VPC di interfaccia. Gli endpoint di interfaccia sono alimentati da AWS PrivateLink, una tecnologia per l'accesso privato alle operazioni dell'API Connector for SCEP. AWS PrivateLink indirizza tutto il traffico di rete tra il tuo VPC e Connector for SCEP attraverso la rete Amazon, evitando l'esposizione su Internet aperto. Ogni endpoint VPC è rappresentato da una o più interfacce di rete elastiche con indirizzi IP privati nelle sottoreti del VPC.

L'endpoint VPC dell'interfaccia collega il VPC direttamente a Connector for SCEP senza un gateway Internet, un dispositivo NAT, una connessione VPN o una connessione. Direct Connect Le istanze del tuo VPC non necessitano di indirizzi IP pubblici per comunicare con l'API Connector for SCEP.

Per utilizzare Connector for SCEP tramite il tuo VPC, devi connetterti da un'istanza all'interno del VPC. In alternativa, puoi connettere la tua rete privata al tuo VPC utilizzando un AWS Virtual Private Network () o.Site-to-Site VPN Direct Connect Per informazioni su Site-to-Site VPN, consulta le connessioni VPN nella Guida per l'utente di Amazon VPC. Per informazioni su Direct Connect, consultare Creazione di una connessione nella Guida per l'utente di Direct Connect .

Connector for SCEP non richiede l'uso di AWS PrivateLink, ma lo consigliamo come ulteriore livello di sicurezza. Per ulteriori informazioni sugli AWS PrivateLink endpoint VPC, consulta Accessing Services Through. AWS PrivateLink

Considerazioni per gli endpoint Connector for SCEP VPC

Prima di configurare gli endpoint VPC di interfaccia per Connector for SCEP, tenete presente le seguenti considerazioni:

  • Connector for SCEP potrebbe non supportare gli endpoint VPC in alcune zone di disponibilità. Quando crei un endpoint VPC, verifica innanzitutto il supporto nella console di gestione. Le zone di disponibilità non supportate sono contrassegnate come «Servizio non supportato in questa zona di disponibilità».

  • Gli endpoint VPC non supportano le richieste tra regioni. Assicurati di creare l'endpoint nella stessa regione in cui hai creato il connettore.

  • Gli endpoint VPC supportano solo il DNS fornito da Amazon tramite Amazon Route 53. Se si desidera utilizzare il proprio DNS, è possibile usare l'inoltro condizionale sul DNS. Per ulteriori informazioni, consulta Set opzioni DHCP nella Guida per l'utente di Amazon VPC.

  • Il gruppo di sicurezza collegato all'endpoint VPC deve consentire le connessioni in entrata sulla porta 443 dalla sottorete privata del VPC.

Creazione dell'endpoint VPC per Connector for SCEP

È possibile creare un endpoint VPC per il servizio Connector for SCEP utilizzando la console VPC all'indirizzo o il. https://console.aws.amazon.com/vpc/ AWS Command Line Interface Per ulteriori informazioni, consulta la procedura Creating an Interface Endpoint nella Amazon VPC User Guide. Connector for SCEP supporta l'esecuzione di chiamate a tutte le sue operazioni API all'interno del tuo VPC.

Quando crei l'endpoint, specifica com.amazonaws.region.pca-connector-scep come nome del servizio.

Se hai abilitato i nomi host DNS privati per l'endpoint, il connettore predefinito per l'endpoint SCEP ora si risolve nell'endpoint VPC. Per un elenco completo degli endpoint di servizio predefiniti, consulta Endpoint e quote del servizio.

Se non hai abilitato i nomi host DNS privati, Amazon VPC fornisce un nome di endpoint DNS che puoi utilizzare nel seguente formato:

vpc-endpoint-id.pca-connector-scep.region.vpce.amazonaws.com

Per ulteriori informazioni, consulta VPC endpoints (AWS PrivateLink) nella Amazon VPC User Guide.

Crea una policy sugli endpoint VPC per Connector for SCEP

Puoi creare una policy per gli endpoint Amazon VPC per Connector for SCEP per specificare quanto segue:

  • Il principale che può eseguire operazioni.

  • Le azioni che possono essere eseguite

  • Le risorse sui cui si possono eseguire le azioni

Per ulteriori informazioni, consulta Controlling Access to Services with VPC Endpoints nella Amazon VPC Guide.

Esempio: policy sugli endpoint VPC per le azioni Connector for SCEP

Quando è collegata a un endpoint, la seguente politica concede l'accesso a tutti i principali alle azioni Connector for SCEP elencate sulla risorsa del connettore specificata.

{
   "Statement": [
      {
         "Principal": "*",
         "Effect": "Allow",
         "Action": [
            "pca-connector-scep:GetConnector",
            "pca-connector-scep:ListConnectors"
         ],
         "Resource": "arn:aws:pca-connector-scep:region:account:connector/connector-id"
      }
   ]
}

Creazione di un endpoint VPC per le operazioni di registrazione di Connector for SCEP

Connector for SCEP fornisce un servizio endpoint VPC separato per operazioni di registrazione come e. GetCACaps PKIOperation

Quando si crea l'endpoint di registrazione, specificare come nome del servizio. com.amazonaws.region.pca-connector-scep.enroll

Quando si crea un connettore, è possibile specificare facoltativamente un VpcEndpointId per limitare l'accesso al connettore solo tramite quello specifico endpoint VPC.

Se non hai abilitato i nomi host DNS privati, Amazon VPC fornisce un nome di endpoint DNS che puoi utilizzare nel seguente formato:

vpc-endpoint-id.enroll.pca-connector-scep.region.vpce.amazonaws.com
Nota

Per raggiungere il connettore, devi utilizzare l'URL dell'endpoint incluso nei dettagli del connettore, non direttamente il nome DNS dell'endpoint VPC. Tuttavia, puoi sostituire la parte relativa al nome DNS dell'URL dell'endpoint del connettore con qualsiasi nome DNS valido per l'endpoint VPC, ad esempio un nome DNS. AZ-specific

Ad esempio, per utilizzare un nome DNS specifico per AZ, puoi sostituire 

https://vpc-endpoint-id.enroll.pca-connector-scep.region.vpce.amazonaws.com/account-id-connector-id/UUID

con 

https://vpc-endpoint-id-availability-zone.enroll.pca-connector-scep.region.vpce.amazonaws.com/account-id-connector-id/UUID
Esempio: politica degli endpoint VPC per le operazioni di registrazione di Connector for SCEP

È possibile allegare una policy sugli endpoint VPC per controllare l'accesso alle operazioni di registrazione. Se collegata a un endpoint, la seguente politica garantisce l'accesso a tutti i principali alle operazioni e. GetCACaps PKIOperation La risorsa nella stanza è un connettore.

Il connettore per le operazioni di registrazione SCEP non è autenticato con SIGv4. Per questo motivo, non sono associati a un principale IAM e sono invece considerati anonimi dalle politiche degli endpoint VPC. Pertanto, la tua policy sugli endpoint VPC deve consentire a tutti i principali di eseguire queste azioni.

{
   "Statement": [
      {
         "Principal": "*",
         "Effect": "Allow",
         "Action": [
            "pca-connector-scep:GetCACaps",
            "pca-connector-scep:GetCACert",
            "pca-connector-scep:PKIOperation"
         ],
         "Resource": [
            arn:aws:pca-connector-scep:us-east-1:111122223333:connector/11223344-1234-1122-2233-112233445566
         ]
      }
   ]
}