Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Gestisci il ciclo di vita della CA privata
I certificati emessi da una CA hanno una durata fissa o un periodo di validità. Quando un certificato emesso da una CA scade, tutti i certificati emessi direttamente o indirettamente dalle CA subordinate sottostanti nella gerarchia CA diventano non validi. È possibile evitare la scadenza del certificato emesso da una CA pianificando in anticipo.
Scegli i periodi di validità
Il periodo di validità di un X.509 certificato è un campo del certificato di base obbligatorio. Determina l'intervallo di tempo durante il quale l'autorità di certificazione emittente certifica che il certificato può essere considerato attendibile, a meno che non lo revochi. (Un certificato root, autofirmato, certifica il proprio periodo di validità.)
CA privata AWS e AWS Certificate Manager fornisce assistenza nella configurazione dei periodi di validità dei certificati in base ai seguenti vincoli:
-
Un certificato gestito da CA privata AWS deve avere un periodo di validità inferiore o uguale al periodo di validità della CA che lo ha emesso. In altre parole, le CA figlio e i certificati dell'entità finale non possono sopravvivere ai certificati padre. Il tentativo di utilizzare l'API
IssueCertificateper emettere un certificato emesso da una CA con un periodo di validità maggiore o uguale alla CA padre non riesce. -
I certificati emessi e gestiti da AWS Certificate Manager (quelli per i quali ACM genera la chiave privata) hanno un periodo di validità di 13 mesi (395 giorni). ACM gestisce il processo di rinnovo di questi certificati. Se utilizzi l'emissione diretta CA privata AWS di certificati, puoi scegliere qualsiasi periodo di validità.
Il diagramma seguente mostra una configurazione tipica dei periodi di validità nidificati. Il certificato principale è il più longevo; i certificati di entità finale sono relativamente brevi e le CA subordinate variano tra questi estremi.
Quando si pianifica la gerarchia della CA, determinare la durata ottimale per i certificati emessi da una CA. Lavorare a ritroso dalla durata desiderata dei certificati di entità finale che si desidera emettere.
End-entity certificati
End-entity i certificati devono avere un periodo di validità adeguato al caso d'uso. Una breve durata riduce al minimo l'esposizione di un certificato nel caso in cui la sua chiave privata venga persa o rubata. Tuttavia, brevi periodi di vita significano frequenti rinnovi. Il mancato rinnovo di un certificato in scadenza può causare tempi di inattività.
L'uso distribuito di certificati di entità finale può anche presentare problemi logistici in caso di violazione della sicurezza. La pianificazione deve tenere conto dei certificati di rinnovo e distribuzione, della revoca di certificati compromessi e della rapidità di propagazione delle revoche ai client che si basano sui certificati.
Il periodo di validità predefinito per un certificato di entità finale emesso tramite ACM è di 13 mesi (395 giorni). In CA privata AWS, puoi utilizzare l'IssueCertificateAPI per applicare qualsiasi periodo di validità purché inferiore a quello della CA emittente.
Certificati emessi da una CA subordinata
I certificati emessi da una CA subordinata devono avere periodi di validità significativamente più lunghi rispetto ai certificati emessi. Un intervallo valido per la validità di un certificato emesso da una CA è da due a cinque volte il periodo di qualsiasi certificato emesso da una CA figlio o il certificato dell'entità finale emesso. Si supponga, ad esempio, di disporre di una gerarchia CA a due livelli (CA root e CA subordinata). Se si desidera emettere certificati di entità finale con una durata di un anno, è possibile configurare la durata della CA di emissione subordinata su tre anni. Questo è il periodo di validità predefinito per un certificato CA subordinato in. CA privata AWS I certificati emessi da una CA subordinata possono essere modificati senza sostituire il certificato emesso da una CA root.
Certificati emessi da una CA root
Le modifiche apportate a un certificato emesso da una CA root influiscono sull'intera infrastruttura PKI (infrastruttura a chiave pubblica) e richiedono l'aggiornamento di tutti gli archivi attendibili client dipendenti e del browser. Per ridurre al minimo l'impatto operativo, è necessario scegliere un periodo di validità lungo per il certificato principale. L' CA privata AWS impostazione predefinita per i certificati root è dieci anni.
Gestisci la successione delle CA
È possibile gestire la successione CA in due modi: sostituire la CA precedente o riemettere la CA con un nuovo periodo di validità.
Sostituisci una vecchia CA
Per sostituire una CA precedente, creare una nuova CA e concatenarla alla stessa CA padre. Successivamente, si emettono certificati dalla nuova CA.
I certificati emessi dalla nuova CA hanno una nuova catena di CA. Una volta stabilita la nuova CA, è possibile disabilitare la vecchia CA per impedire l'emissione di nuovi certificati. Sebbene disattivata, la vecchia CA supporta la revoca dei vecchi certificati emessi dalla CA e, se configurata in tal senso, continua a convalidare i certificati tramite gli elenchi di revoca dei and/or certificati (CRL) OCSP. Quando scade l'ultimo certificato rilasciato dalla vecchia CA, è possibile eliminare la vecchia CA. È possibile generare un report di audit per tutti i certificati emessi dalla CA per confermare che tutti i certificati emessi sono scaduti. Se la vecchia CA dispone di CA subordinate, è necessario sostituirle anche perché le CA subordinate scadono contemporaneamente o prima della relativa CA padre. Iniziare sostituendo la CA più alta nella gerarchia che deve essere sostituita. Quindi creare nuove CA subordinate sostitutive ad ogni livello inferiore successivo.
AWS consiglia di includere un identificatore di generazione CA nei nomi delle CA, se necessario. Ad esempio, si supponga di denominare la CA di prima generazione «Corporate Root CA». Quando crei la CA di seconda generazione, chiamala «Corporate Root CA G2". Questa semplice convenzione di denominazione può aiutare a evitare confusione quando entrambe le CA non sono scadute.
Questo metodo di successione CA è preferito perché ruota la chiave privata della CA. La rotazione della chiave privata è una procedura consigliata per le chiavi CA. La frequenza di rotazione dovrebbe essere proporzionale alla frequenza di utilizzo della chiave: le CA che emettono più certificati dovrebbero essere ruotate più frequentemente.
Nota
I certificati privati emessi tramite ACM non possono essere rinnovati se si sostituisce la CA. Se si utilizza ACM per l'emissione e il rinnovo, è necessario emettere nuovamente il certificato CA per prolungarne la durata.
Riemetti una vecchia CA
Quando una CA si avvicina alla scadenza, un metodo alternativo per prolungarne la durata consiste nel riemettere il certificato CA con una nuova data di scadenza. La riemissione lascia invariati tutti i metadati CA e preserva le chiavi private e pubbliche esistenti. In questo scenario, la catena di certificati esistente e i certificati di entità finale non scaduti emessi dalla CA rimangono validi fino alla scadenza. L'emissione di nuovi certificati può inoltre continuare senza interruzioni. Per aggiornare una CA con un certificato riemesso, segui le normali procedure di installazione descritte in. Installazione del certificato CA
Nota
Consigliamo di sostituire una CA in scadenza anziché riemetterne il certificato, per via dei vantaggi in termini di sicurezza derivanti dal passaggio a una nuova key pair.
Revoca una CA
Si revoca una CA revocando il relativo certificato sottostante. Ciò inoltre revoca di fatto tutti i certificati emessi dalla CA. Le informazioni sulla revoca vengono distribuite ai clienti tramite OCSP o CRL. È necessario revocare un certificato CA solo se si desidera revocare tutti i certificati CA di entità finale e subordinati emessi.
