기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
에서 프라이빗 CA 생성 AWS Private CA
이 섹션의 절차를 사용하여 루트 CAs 또는 하위 CAs를 생성하여 조직의 요구 사항에 맞는 감사 가능한 신뢰 관계 계층 구조를 만들 수 있습니다. 또는의 AWS Management Console PCA 부분을 사용하여 CA를 생성할 수 있습니다 AWS CLI AWS CloudFormation.
이미 생성한 CA의 구성을 업데이트하는 방법에 대한 자세한 내용은 에서 프라이빗 CA 업데이트 AWS Private Certificate Authority 섹션을 참조하세요.
CA를 사용하여 사용자, 디바이스 및 애플리케이션의 최종 엔터티 인증서에 서명하는 방법은 프라이빗 엔드엔터티 인증서 발급 섹션을 참조하세요.
참고
계정에는 사설 CA를 생성한 시점부터 각 사설 CA에 대한 월별 요금이 청구됩니다.
최신 AWS Private CA 요금 정보는 AWS Private Certificate Authority 요금을
프라이빗 CA를 생성하기 위한 CLI 예제
다음 예에서는 유효한 기본 리전, 엔드포인트 및 자격 증명을 사용하여 .aws 구성 디렉터리를 설정했다고 가정합니다. AWS CLI 환경 구성에 대한 자세한 내용은 구성 및 보안 인증 파일 설정을 참조하세요. 가독성을 위해 예제 명령에서 CA 구성 및 취소 입력을 JSON 파일로 제공합니다. 필요에 따라 예제 파일을 수정하여 사용하세요.
달리 명시되지 않는 한 모든 예제는 다음 ca_config.txt 구성 파일을 사용합니다.
파일: ca_config.txt
{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"Sales", "State":"WA", "Locality":"Seattle", "CommonName":"www.example.com" } }
예제 1: OCSP가 활성화된 CA 생성
이 예제에서는 해지 파일을 통해 AWS Private CA 응답기를 사용하여 인증서 상태를 확인하는 기본 OCSP 지원이 활성화됩니다.
파일: revoke_config.txt for OCSP
{ "OcspConfiguration":{ "Enabled":true } }
명령
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA
성공하면이 명령은 새 CA의 Amazon 리소스 이름(ARN)을 출력합니다.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:region:account:
certificate-authority/CA_ID"
}명령
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-2
성공하면이 명령은 CA의 Amazon 리소스 이름(ARN)을 출력합니다.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}CA의 구성을 검사하려면 다음 명령을 사용합니다.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
이 설명에 다음 사항이 포함되어 있어야 합니다.
"RevocationConfiguration": {
...
"OcspConfiguration": {
"Enabled": true
}
...
}예제 2: OCSP 및 사용자 지정 CNAME가 활성화된 CA 생성
이 예제에서는 취소 파일을 통해 사용자 지정된 OCSP를 지원할 수 있습니다. OcspCustomCname 파라미터는 정규화된 도메인 이름(FQDN)을 값으로 사용합니다.
이 필드에 FQDN를 제공하면는 Word를 FQDN URL for the AWS OCSP 응답기 대신 발급된 각 인증서의 권한 정보 액세스 확장에 AWS Private CA 삽입합니다. 엔드포인트가 사용자 지정 FQDN가 포함된 인증서를 수신하면 해당에서 OCSP 응답을 쿼리합니다. 이 메커니즘이 작동하려면 다음 두 가지 추가 조치를 취해야 합니다.
-
프록시 서버를 사용하여 사용자 지정 FQDN에 도착하는 트래픽을 AWS OCSP 응답기로 전달합니다.
-
CNAME 데이터베이스에 해당 DNS 레코드를 추가합니다.
작은 정보
사용자 지정 OCSP를 사용하여 전체 CNAME 솔루션을 구현하는 방법에 대한 자세한 내용은 섹션을 참조하세요OCSP URL 에 대한 사용자 지정 AWS Private CA.
예를 들어, 다음은 Amazon Route 53에 표시되는 사용자 지정 CNAME에 대한 OCSP 레코드입니다.
| 레코드 이름 | 유형 | 라우팅 정책 | 차별화 요소 | 값/트래픽 라우팅 대상 |
|---|---|---|---|---|
|
alternative.example.com |
CNAME | 간편함 | - | proxy.example.com |
참고
CNAME 값에는 “http://" 또는 “ 같은 프로토콜 접두사가 포함되어서는 안 https://".
파일: revoke_config.txt for OCSP
{ "OcspConfiguration":{ "Enabled":true, "OcspCustomCname":"alternative.example.com" } }
명령
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-3
성공하면이 명령은 CA의 Amazon 리소스 이름(ARN)을 출력합니다.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}CA의 구성을 검사하려면 다음 명령을 사용합니다.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
이 설명에 다음 사항이 포함되어 있어야 합니다.
"RevocationConfiguration": {
...
"OcspConfiguration": {
"Enabled": true,
"OcspCustomCname": "alternative.example.com"
}
...
}예제 3: 연결된 CRL로 CA 생성
이 예제에서는 해지 구성이 CRL 파라미터를 정의합니다.
파일: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "S3BucketName":"amzn-s3-demo-bucket" } }
명령
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
성공하면이 명령은 CA의 Amazon 리소스 이름(ARN)을 출력합니다.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}CA의 구성을 검사하려면 다음 명령을 사용합니다.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
이 설명에 다음 사항이 포함되어 있어야 합니다.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"S3BucketName": "amzn-s3-demo-bucket"
},
...
}예제 4: 연결된 CRL와 사용자 지정 CNAME가 활성화된 CA 생성
이 예제에서 취소 구성은 사용자 지정 CRL를 포함하는 CNAME 파라미터를 정의합니다.
파일: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "CustomCname": "alternative.example.com", "S3BucketName":"amzn-s3-demo-bucket" } }
명령
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
성공하면이 명령은 CA의 Amazon 리소스 이름(ARN)을 출력합니다.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}CA의 구성을 검사하려면 다음 명령을 사용합니다.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
이 설명에 다음 사항이 포함되어 있어야 합니다.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"CustomCname": "alternative.example.com",
"S3BucketName": "amzn-s3-demo-bucket",
...
}
}예제 5: CA 생성 및 사용 모드 지정
이 예제에서는 CA를 생성할 때 CA 사용 모드를 지정합니다. 지정되지 않은 경우 사용 모드 파라미터는 기본적으로 GENERAL_PURPOSE로 설정됩니다. 이 예제에서 파라미터는 SHORT_LIVED_CERTIFICATE로 설정되어 있습니다. 즉, CA는 최대 유효 기간이 7일인 인증서를 발급합니다. 해지를 구성하는 것이 불편한 상황에서는 손상된 단기 인증서가 정상 작업의 일부로 빠르게 만료됩니다. 따라서 이 예제 CA에는 해지 메커니즘이 없습니다.
참고
AWS Private CA 는 루트 CA 인증서에 대한 유효성 검사를 수행하지 않습니다.
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config.txt\ --certificate-authority-type "ROOT" \ --usage-mode SHORT_LIVED_CERTIFICATE \ --tags Key=usageMode,Value=SHORT_LIVED_CERTIFICATE
의 describe-certificate-authority 명령을 사용하여 다음 명령과 같이 결과 CA에 대한 세부 정보를 AWS CLI 표시합니다.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn arn:aws:acm:region:account:certificate-authority/CA_ID
{ "CertificateAuthority":{ "Arn":"arn:aws:acm-pca:region:account:certificate-authority/CA_ID", "CreatedAt":"2022-09-30T09:53:42.769000-07:00", "LastStateChangeAt":"2022-09-30T09:53:43.784000-07:00", "Type":"ROOT", "UsageMode":"SHORT_LIVED_CERTIFICATE", "Serial":"serial_number", "Status":"PENDING_CERTIFICATE", "CertificateAuthorityConfiguration":{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"Sales", "State":"WA", "Locality":"Seattle", "CommonName":"www.example.com" } }, "RevocationConfiguration":{ "CrlConfiguration":{ "Enabled":false }, "OcspConfiguration":{ "Enabled":false } }, ...
예제 6: Active Directory 로그인을 위한 CA 생성
카드 로그온 또는 도메인 컨트롤러 인증서를 발급할 수 있는 Microsoft Active Directory(AD)의 Enterprise NTAuth 스토어에서 사용하기에 적합한 프라이빗 CA를 생성할 수 있습니다. CA 인증서를 AD로 가져오는 방법에 대한 자세한 내용은 타사 인증 기관(CA) 인증서를 Enterprise NTAuth 스토어로 가져오는 방법을 참조하세요
Microsoft certutil
이 예제에서는 다음 ca_config_AD.txt 구성 파일을 사용합니다.
파일: ca_config_AD.txt
{ "KeyAlgorithm":"RSA_2048", "SigningAlgorithm":"SHA256WITHRSA", "Subject":{ "CustomAttributes":[ { "ObjectIdentifier":"2.5.4.3", "Value":"root CA" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"example" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"com" } ] } }
명령
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config_AD.txt\ --certificate-authority-type "ROOT" \ --tags Key=application,Value=ActiveDirectory
성공하면이 명령은 CA의 Amazon 리소스 이름(ARN)을 출력합니다.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}CA의 구성을 검사하려면 다음 명령을 사용합니다.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
이 설명에 다음 사항이 포함되어 있어야 합니다.
... "Subject":{ "CustomAttributes":[ { "ObjectIdentifier":"2.5.4.3", "Value":"root CA" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"example" }, { "ObjectIdentifier":"0.9.2342.19200300.100.1.25", "Value":"com" } ] } ...
예제 7: 발급된 인증서에서 누락된 CRL 및 CDP 확장을 첨부하여 Matter CA 생성
Matter 스마트 홈 표준에 대한 인증서를 발급하는 데 적합한 프라이빗 CA를 생성할 수 있습니다. 이 예제에서의 CA 구성은 공급업체 ID(PAA)가 FFF1로 설정된 Matter Product Attestation Authority(VID)를 ca_config_PAA.txt 정의합니다.
파일: ca_config_PAA.txt
{ "KeyAlgorithm":"EC_prime256v1", "SigningAlgorithm":"SHA256WITHECDSA", "Subject":{ "Country":"US", "Organization":"Example Corp", "OrganizationalUnit":"SmartHome", "State":"WA", "Locality":"Seattle", "CommonName":"Example Corp Matter PAA", "CustomAttributes":[ { "ObjectIdentifier":"1.3.6.1.4.1.37244.2.1", "Value":"FFF1"} ] } }
취소 구성은 CRLs를 활성화하고 CA가 발급된 인증서에서 기본 URL CDP를 생략하도록 구성합니다.
파일: revoke_config.txt
{ "CrlConfiguration":{ "Enabled":true, "ExpirationInDays":7, "S3BucketName":"amzn-s3-demo-bucket", "CrlDistributionPointExtensionConfiguration":{ "OmitExtension":true } } }
명령
$aws acm-pca create-certificate-authority \ --certificate-authority-configuration file://ca_config_PAA.txt\ --revocation-configuration file://revoke_config.txt\ --certificate-authority-type "ROOT" \ --idempotency-token01234567\ --tags Key=Name,Value=MyPCA-1
성공하면이 명령은 CA의 Amazon 리소스 이름(ARN)을 출력합니다.
{
"CertificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
}CA의 구성을 검사하려면 다음 명령을 사용합니다.
$aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566" \ --output json
이 설명에 다음 사항이 포함되어 있어야 합니다.
"RevocationConfiguration": {
...
"CrlConfiguration": {
"Enabled": true,
"ExpirationInDays": 7,
"S3BucketName": "amzn-s3-demo-bucket",
"CrlDistributionPointExtensionConfiguration":{
"OmitExtension":true
}
},
...
}
...