Personalizza l'URL OCSP per AWS Private CA - AWS Private Certificate Authority

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Personalizza l'URL OCSP per AWS Private CA

Nota

Questo argomento è destinato ai clienti che desiderano personalizzare l'URL pubblico dell'endpoint di risposta OCSP (Online Certificate Status Protocol) per scopi di branding o altri scopi. Se prevedi di utilizzare la configurazione predefinita dell'OCSP CA privata AWS gestito, puoi saltare questo argomento e seguire le istruzioni di configurazione in Configurare la revoca.

Per impostazione predefinita, quando abiliti OCSP per CA privata AWS, ogni certificato emesso contiene l'URL del risponditore OCSP. AWS Ciò consente ai client che richiedono una connessione crittograficamente sicura di inviare direttamente le query di convalida OCSP a. AWS Tuttavia, in alcuni casi potrebbe essere preferibile indicare un URL diverso nei certificati e comunque inviare le query OCSP a. AWS

Nota

Per informazioni sull'utilizzo di un elenco di revoca dei certificati (CRL) come alternativa o supplemento a OCSP, vedere Configurazione della revoca e Pianificazione di un elenco di revoca dei certificati (CRL).

Nella configurazione di un URL personalizzato per OCSP sono coinvolti tre elementi.

Il diagramma seguente illustra come questi elementi interagiscono.

Topologia OCSP personalizzata

Come illustrato nel diagramma, il processo di convalida OCSP personalizzato prevede i seguenti passaggi:

  1. Il client richiede il DNS per il dominio di destinazione.

  2. Il client riceve l'IP di destinazione.

  3. Il client apre una connessione TCP con target.

  4. Il client riceve il certificato TLS di destinazione.

  5. Il client richiede il DNS per il dominio OCSP elencato nel certificato.

  6. Il client riceve l'IP proxy.

  7. Il client invia una query OCSP al proxy.

  8. Il proxy inoltra la richiesta al risponditore OCSP.

  9. Il risponditore restituisce lo stato del certificato al proxy.

  10. Il proxy inoltra lo stato del certificato al client.

  11. Se il certificato è valido, il client avvia l'handshake TLS.

Suggerimento

Questo esempio può essere implementato utilizzando Amazon CloudFront e Amazon Route 53 dopo aver configurato una CA come descritto sopra.

  1. In CloudFront, crea una distribuzione e configurala come segue:

    • Crea un nome alternativo che corrisponda al tuo CNAME personalizzato.

    • Associa il tuo certificato ad esso.

    • Imposta ocsp.acm-pca. <region>.amazonaws.com come origine.

    • Applica la politica. Managed-CachingDisabled

    • Imposta la politica del protocollo Viewer su HTTP e HTTPS.

    • Imposta i metodi HTTP consentiti su GET, HEAD, OPTIONS, PUT, POST, PATCH, DELETE.

  2. In Route 53, crea un record DNS che mappa il tuo CNAME personalizzato all'URL della CloudFront distribuzione.