本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
AWS 私有证书颁发机构 客户 CP/CPS 框架
AWS 私有证书颁发机构 提供基础设施服务，使您能够创建证书颁发机构 (CA) 层次结构，包括根和从属层次 CAs，而无需支付运营本地 CA 的投资和维护成本。当您使用 AWS 私有 CA 创建 CA 层次结构时，您和 AWS 私有 CA之间需要共同承担责任。在 AWS 运营、管理和控制服务运营设施的人身安全时，分担责任模式可以帮助减轻您的运营负担。您负责并管理证书颁发机构（包括创建和删除 CA 资源；分配信任锚；创建 PKI 层次结构；认证策略和实践；允许或拒绝 CA 共享的配置 AWS 账户；模板使用策略；审计；访问控制，包括职责分离；以及其他 CA 配置和策略）。您应仔细考虑所选择的服务，因为您的责任因所使用的服务、这些服务与您的 IT 环境的集成以及适用的法律和法规而异。有关更多信息，请参阅AWS Cloud 安全分担责任模型
为私有证书颁发机构创建证书策略 (CP) 或认证实践声明 (CPS) 是管理公钥基础设施 (PKI) 的关键部分。CP 定义了您的 PKI 的所有要求/规则，CPS 解释了您如何满足 CP 要求。您负责创建 CP 和 CPS 作为 PKI 的证书颁发机构。 AWS 私有 CA 为您提供 AWS 控制和合规文档，例如AWS 系统和组织控制 (SOC) 2 报告
本文档提供了一个符合 RFC 3647
CP/CPS 要求和责任
| CP/CPS 要求 | 责任 | 补充信息 |
|---|---|---|
| 1. 简介 (全部) | 您 |
您负责记录与您的 PKI 相关的概述、文档名称和身份、PKI 参与者、证书使用、策略管理以及定义和首字母缩略词。 |
| 2. 出版物和存储库职责 (全部) | 您 |
您负责记录与您的 PKI 相关的定义。 |
| 3. 身份验证和认证 (全部) | 您 |
在证书颁发之前，您负责记录用于向 CA 或注册机构 (RA) 验证最终用户证书申请人的身份和/或其他属性的程序。 |
| 4. 证书生命周期操作要求（4.4.1 — 4.4.6、4.4.9 — 4.4.11） | 已共享 |
您有责任具体说明颁发 CA、主体 CAs RAs、订阅者或其他参与者在证书生命周期方面的要求。 AWS 私有 CA 为您提供两种完全托管的机制来帮助支持吊销状态检查：在线证书状态协议 (OCSP) 和证书吊销列表 (CRLs)，可帮助您满足 4.4.9 和 4.4.10 的要求。 |
| 4. 证书生命周期操作要求（4.4.7、4.4.8、4.4.12） | 不适用 |
AWS 私有 CA 不支持证书重新密钥、证书修改或密钥托管和恢复。 |
| 5. 设施、管理和运营控制 (4.5.1) | AWS 私有 CA |
您可以继承访问控制，以帮助您满足本节中在 AWS 私有 CA SOC 2 第 2 类报告范围内的要求（参见第 D.6 节 “物理安全和环境保护”）。 注意您对导出或传出环境的 CA 数据的物理安全和数据分类负责，但不负责存储在 AWS 环境中的 CA 数据的物理安全 AWS。 |
| 5. 设施、管理和运营控制 (4.5.2) | 已共享 |
您有责任满足本节中关于为公用钥匙基础结构环境的操作定义可信角色的要求。 AWS 私有 CA 维护特定于加密模块物理访问的可信角色。 |
| 5. 设施、管理和运营控制 (4.5.3) | 已共享 |
您有责任满足本节中针对您可信人员的背景调查、培训和纪律处分程序的要求。 对于属于 AWS 私有 CA SOC 2 类型 2 报告范围的 AWS 员工，您可以继承与背景调查、培训和纪律处分程序相关的控制措施（参见 A 部分、政策、A.1 控制环境、B. 通信以及 D.1 安全组织和 D.2 员工用户访问权限）。 |
| 5. 设施、管理和运营控制 (4.5.4) | 已共享 |
您负责启用、配置保留以及保护 CloudTrail 和审计报告日志和 CloudWatch 警报。此外，您还负责创建日志处理程序，并对您使用 AWS 私有 CA 服务进行漏洞评估，以满足本节的要求。 您可以继承与 AWS 私有 CA SOC 2 第 2 类报告范围内的日志可用性、物理access/site security, CA/RA配置管理、 AWS 基础设施日志安全以及 AWS 基础设施漏洞评估相关的控制措施（参见 A.1 节控制环境、C.1 节服务承诺、D.2 员工用户访问权限、D.3 逻辑安全、D.6 物理安全和环境保护、D.7 变更管理、D.8 数据完整性、可用性和冗余以及 E.1 监控活动）。 |
| 5. 设施、管理和运营控制 (4.5.5) | 已共享 |
您负责配置满足本节要求的备份和保留期。 您继承与 AWS 私有 CA SOC 2 类型 2 报告范围内的日志可用性（配置时）相关的控制措施（请参阅 D.8 数据完整性、可用性和冗余）。 |
| 5. 设施、管理和运营控制 (4.5.6) | 不适用 |
AWS 私有 CA 不支持密钥切换。 |
| 5. 设施、管理和运营控制 (4.5.7) | 已共享 |
您负责实施符合本节要求的事件和泄露处理程序 AWS 私有 CA ，具体取决于您的使用情况。 您可以继承特定于物理站点住房和基础设施运营的事件、危害处理程序、业务连续性和灾难恢复程序，这些程序可帮助您满足本节中属于 AWS 私有 CA SOC 2 第 2 类隐私报告范围内的要求（请参阅 D.8 数据完整性、可用性和冗余性以及 D.10 部分 “隐私”）。 |
| 5. 设施、管理和运营控制 (4.5.8) | 您 |
您需要记录与终止和终止CA或RA的程序相关的要求，包括CA和RA档案记录保管人的身份。 |
| 6. 技术控制 (4.6.1) | 已共享 |
您负责记录您的 PKI 的密钥生成和安装需求。 AWS 私有 CA 为您提供经过 FIPS 140-3 级别 3 认证的加密模块，可生成 CA 密钥。 |
| 6. 技术控制 (4.6.2) | 已共享 |
您负责记录私钥保护和加密模块工程控制，例如加密标准要求和多人控制。 AWS 私有 CA 为您提供经过 FIPS 140-3 级别 3 认证的加密模块，可生成 CA 密钥和两方物理访问控制。 HSMs |
| 6. 技术控制 (4.6.3) | 您 |
您负责记录密钥对管理的其他方面，例如公钥的存档和证书的使用期限。 |
| 6. 技术控制 (4.6.4) | 不适用 |
AWS AWS 私有 CA HSMs 始终在线，没有 “激活数据” 的概念。 注意您负责实施对私有 CA 的用户访问控制，以适当限制创建 CA 和颁发证书的能力。 |
| 6. 技术控制 (4.6.5) | 已共享 |
您有责任记录您使用私有 CA 的计算机安全控制措施。 您可以继承与 AWS 私有 CA SOC 2 第 2 类报告范围内的 AWS 员工逻辑访问权限、 AWS 基础设施的网络和计算机安全控制以及 AWS 员工帐户的密码参数控制相关的控制（参见第 D.2 节 “员工用户访问权限”、“D.3 逻辑安全” 和 D.6 物理安全和环境保护）。 |
| 6. 技术控制 (4.6.6) | 已共享 |
您有责任记录与您使用私有 CA 相关的安全管理控制措施。 您可以继承与 AWS 私有 CA SOC 2 第 2 类报告范围内的 AWS 私有 CA 服务系统开发控制相关的控制措施（参见第 D.7 节变更管理）。 |
| 6. 技术控制 (4.6.7) | 已共享 |
如果适用于您的 PKI 环境，则您有责任记录您使用私有 CA 的网络安全控制措施。 您可以继承与 AWS 私有 CA SOC 2 第 2 类报告范围内的 AWS 基础设施网络安全控制相关的控制措施（参见第 C.1 节服务承诺、D.3 逻辑安全和 E.1 监控活动）。 |
| 6. 技术控制 (4.6.8) | AWS 私有 CA |
AWS 私有 CA 使用可信的时间源为 CA 数据加上时间戳。 |
| 7. 证书、CRL 和 OCSP 配置文件 (全部) | 已共享 |
您负责记录符合您的 PKI 环境需求的配置文件要求和证书输入。 AWS 私有 CA 为您提供个人资料模板，以帮助满足您的个人资料要求。 |
| 8. 合规审计和其他评估 (全部) | 已共享 |
您负责记录合规性审计和其他评估。 AWS 私有 CA 为您提供 SOC 2 报告，以帮助您和您的审计员了解为支持运营和合规而建立的 AWS 控制措施。 |
| 9. 其他商业和法律事务 | 您 |
您负责记录涵盖您的私有 CA 的一般业务和法律事务。 |
