View a markdown version of this page

Richten Sie eine CRL ein für AWS Private CA - AWS Private Certificate Authority
CRL-TypenCRL-StrukturZugriffsrichtlinien für CRLs in Amazon S3S3 BPA mit CloudFrontErmitteln des CRL Distribution Point (CDP) -URI

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Richten Sie eine CRL ein für AWS Private CA

Bevor Sie im Rahmen der CA-Erstellung eine Zertifikatssperrliste (CRL) konfigurieren können, ist möglicherweise eine vorherige Einrichtung erforderlich. In diesem Abschnitt werden die Voraussetzungen und Optionen erläutert, die Sie kennen sollten, bevor Sie eine CA mit einer angehängten CRL erstellen.

Informationen zur Verwendung des Online Certificate Status Protocol (OCSP) als Alternative oder Ergänzung zu einer CRL finden Sie unter und. Certificate revocation options Passen Sie die OCSP-URL an für AWS Private CA

CRL-Typen

  • Vollständig — Die Standardeinstellung. AWS Private CA verwaltet eine einzige, unpartitionierte CRL-Datei für alle nicht abgelaufenen Zertifikate, die von einer CA ausgestellt wurden und gesperrt wurden. Jedes ausgestellte Zertifikat ist AWS Private CA über seine CRL Distribution Point (CDP) -Erweiterung an eine bestimmte CRL gebunden, wie in RFC 5280 definiert. https://datatracker.ietf.org/doc/html/rfc5280#section-4.2.1.9 Sie können bis zu 1 Million private Zertifikate für jede CA haben, bei der die vollständige CRL aktiviert ist. Weitere Informationen finden Sie unter AWS Private CA Kontingente.

  • Partitioniert — Im Vergleich zu vollständigen CRLs erhöhen partitionierte CRLs die Anzahl der Zertifikate, die Ihre private Zertifizierungsstelle ausstellen kann, drastisch und Sie müssen Ihre Zertifizierungsstellen nicht häufig wechseln.

    Wichtig

    Wenn Sie partitionierte CRLs verwenden, müssen Sie überprüfen, ob die der CRL zugeordnete URI des ausstellenden Verteilungspunkts (IDP) mit der CDP-URI des Zertifikats übereinstimmt, um sicherzustellen, dass die richtige CRL abgerufen wurde. AWS Private CA markiert die IDP-Erweiterung als kritisch, was Ihr Client verarbeiten können muss.

CRL-Struktur

Jede CRL ist eine DER-codierte Datei. Um die Datei herunterzuladen und sie mit OpenSSL anzusehen, verwenden Sie einen Befehl, der dem folgenden ähnelt:

openssl crl -inform DER -in path-to-crl-file -text -noout

Zertifikatsperrlisten haben das folgende Format:

Certificate Revocation List (CRL):
		        Version 2 (0x1)
		    Signature Algorithm: sha256WithRSAEncryption
		        Issuer: /C=US/ST=WA/L=Seattle/O=Example Company CA/OU=Corporate/CN=www.example.com
		        Last Update: Feb 26 19:28:25 2018 GMT
		        Next Update: Feb 26 20:28:25 2019 GMT
		        CRL extensions:
		            X509v3 Authority Key Identifier:
		                keyid:AA:6E:C1:8A:EC:2F:8F:21:BC:BE:80:3D:C5:65:93:79:99:E7:71:65
		
		            X509v3 CRL Number:
		                1519676905984
		Revoked Certificates:
		    Serial Number: E8CBD2BEDB122329F97706BCFEC990F8
		        Revocation Date: Feb 26 20:00:36 2018 GMT
		        CRL entry extensions:
		            X509v3 CRL Reason Code:
		                Key Compromise
		    Serial Number: F7D7A3FD88B82C6776483467BBF0B38C
		        Revocation Date: Jan 30 21:21:31 2018 GMT
		        CRL entry extensions:
		            X509v3 CRL Reason Code:
		                Key Compromise
		    Signature Algorithm: sha256WithRSAEncryption
		         82:9a:40:76:86:a5:f5:4e:1e:43:e2:ea:83:ac:89:07:49:bf:
		         c2:fd:45:7d:15:d0:76:fe:64:ce:7b:3d:bb:4c:a0:6c:4b:4f:
		         9e:1d:27:f8:69:5e:d1:93:5b:95:da:78:50:6d:a8:59:bb:6f:
		         49:9b:04:fa:38:f2:fc:4c:0d:97:ac:02:51:26:7d:3e:fe:a6:
		         c6:83:34:b4:84:0b:5d:b1:c4:25:2f:66:0a:2e:30:f6:52:88:
		         e8:d2:05:78:84:09:01:e8:9d:c2:9e:b5:83:bd:8a:3a:e4:94:
		         62:ed:92:e0:be:ea:d2:59:5b:c7:c3:61:35:dc:a9:98:9d:80:
		         1c:2a:f7:23:9b:fe:ad:6f:16:7e:22:09:9a:79:8f:44:69:89:
		         2a:78:ae:92:a4:32:46:8d:76:ee:68:25:63:5c:bd:41:a5:5a:
		         57:18:d7:71:35:85:5c:cd:20:28:c6:d5:59:88:47:c9:36:44:
		         53:55:28:4d:6b:f8:6a:00:eb:b4:62:de:15:56:c8:9c:45:d7:
		         83:83:07:21:84:b4:eb:0b:23:f2:61:dd:95:03:02:df:0d:0f:
		         97:32:e0:9d:38:de:7c:15:e4:36:66:7a:18:da:ce:a3:34:94:
		         58:a6:5d:5c:04:90:35:f1:8b:55:a9:3c:dd:72:a2:d7:5f:73:
		         5a:2c:88:85
Anmerkung

Wenn Sie eine CRL für eine CA konfigurieren, AWS Private CA schreibt sie ein Testobjekt in den Amazon S3-Bucket, um zu überprüfen, ob es die Berechtigung hat, in den Bucket zu schreiben. Das Objekt ist benanntacm-pca-permission-test-key, oder S3ObjectAcl es acm-pca-permission-test-key-private ist auf BUCKET_OWNER_FULL_CONTROL gesetzt.

Bei einer vollständigen CRL schreiben Sie AWS Private CA die erste CRL kurz nach der Konfiguration der CRL in den Bucket, in der Regel innerhalb von 30 Minuten, auch wenn die CA keine Zertifikate ausgestellt hat. Die CRL ist leer, bis Sie ein Zertifikat widerrufen, und AWS Private CA aktualisiert es regelmäßig.

Bei partitionierten CRLs AWS Private CA schreibt die CRL für eine Partition erst, nachdem die CA ein Zertifikat ausgestellt hat, das sich auf diese Partition bezieht. AWS Private CA schreibt auch eine vollständige CRL,CA-ID.crl, in den Bucket, kurz nachdem Sie die CRL konfiguriert haben, auch wenn die CA keine Zertifikate ausgestellt hat. Wenn die CA immer partitionierte CRLs verwendet hat, verweist kein Zertifikat auf diese CRL. Sie ist also immer leer und Sie können sie ignorieren.

Zugriffsrichtlinien für CRLs in Amazon S3

Wenn Sie vorhaben, eine CRL zu erstellen, müssen Sie einen Amazon S3-Bucket zum Speichern vorbereiten. AWS Private CA legt die CRL automatisch in dem von Ihnen angegebenen Amazon S3-Bucket ab und aktualisiert sie regelmäßig. Weitere Informationen finden Sie unter Bucket erstellen.

Ihr S3-Bucket muss durch eine beigefügte IAM-Berechtigungsrichtlinie gesichert sein. Autorisierte Benutzer und Dienstprinzipale benötigen die Put Erlaubnis, Objekte im Bucket platzieren AWS Private CA zu dürfen, sowie die Get Erlaubnis, sie abzurufen.

Anmerkung

Die Konfiguration der IAM-Richtlinie hängt von den AWS-Regionen Beteiligten ab. Regionen lassen sich in zwei Kategorien einteilen:

  • Default-enabled Regionen — Regionen, die standardmäßig für alle aktiviert sind AWS-Konten.

  • Default-disabled Regionen — Regionen, die standardmäßig deaktiviert sind, aber vom Kunden manuell aktiviert werden können.

Weitere Informationen und eine Liste der standardmäßig deaktivierten Regionen finden Sie unter Verwalten. AWS-Regionen Eine Erläuterung der Service-Principals im Kontext von IAM finden Sie unter AWS Service-Principals in Opt-in-Regionen.

Wenn Sie CRLs als Methode zum Widerruf von Zertifikaten konfigurieren, AWS Private CA wird eine CRL erstellt und in einem S3-Bucket veröffentlicht. Für den S3-Bucket ist eine IAM-Richtlinie erforderlich, die es dem AWS Private CA Dienstprinzipal ermöglicht, in den Bucket zu schreiben. Der Name des Dienstprinzips variiert je nach den verwendeten Regionen, und nicht alle Möglichkeiten werden unterstützt.

PCA S3 Dienstauftraggeber

Beide in derselben Region

acm-pca.amazonaws.com

Aktiviert

Enabled

acm-pca.amazonaws.com
Disabled Aktiviert

acm-pca.Region.amazonaws.com
Enabled Disabled

Nicht unterstützt

Die Standardrichtlinie sieht keine SourceArn Einschränkungen für die CA vor. Wir empfehlen, eine weniger freizügige Richtlinie wie die folgende anzuwenden, die den Zugriff sowohl auf ein bestimmtes AWS Konto als auch auf eine bestimmte private CA einschränkt. Alternativ können Sie den aws: SourceOrg ID-Bedingungsschlüssel verwenden, um den Zugriff auf ein bestimmtes Organisationskonto einzuschränken. AWS Organizations Weitere Informationen zu Bucket-Richtlinien finden Sie unter Bucket-Richtlinien für Amazon Simple Storage Service.

Wenn Sie sich dafür entscheiden, die Standardrichtlinie zuzulassen, können Sie sie später jederzeit ändern.

Aktivieren Sie S3 Block Public Access (BPA) mit CloudFront

Neue Amazon S3-Buckets werden standardmäßig mit aktivierter BPA-Funktion (Block Public Access) konfiguriert. BPA ist Teil der bewährten https://docs.aws.amazon.com/AmazonS3/latest/userguide/security-best-practices.html Sicherheitsmethoden von Amazon S3 und besteht aus einer Reihe von Zugriffskontrollen, mit denen Kunden den Zugriff auf Objekte in ihren S3-Buckets und auf die Buckets insgesamt optimieren können. Wenn BPA aktiv und korrekt konfiguriert ist, haben nur autorisierte und authentifizierte AWS Benutzer Zugriff auf einen Bucket und dessen Inhalt.

AWS empfiehlt die Verwendung von BPA auf allen S3-Buckets, um zu verhindern, dass vertrauliche Informationen potenziellen Gegnern preisgegeben werden. Eine zusätzliche Planung ist jedoch erforderlich, wenn Ihre PKI-Clients CRLs über das öffentliche Internet abrufen (d. h. wenn sie nicht mit einem Konto angemeldet sind). AWS In diesem Abschnitt wird beschrieben, wie Sie eine private PKI-Lösung mithilfe von Amazon CloudFront, einem Content Delivery Network (CDN), konfigurieren, um CRLs bereitzustellen, ohne dass ein authentifizierter Client-Zugriff auf einen S3-Bucket erforderlich ist.

Anmerkung

Bei der Nutzung CloudFront fallen zusätzliche Kosten für Ihr Konto an. AWS Weitere Informationen finden Sie unter CloudFront Amazon-Preise.

Wenn Sie sich dafür entscheiden, Ihre CRL in einem S3-Bucket mit aktiviertem BPA zu speichern, und Sie sie nicht verwenden CloudFront, müssen Sie eine weitere CDN-Lösung erstellen, um sicherzustellen, dass Ihr PKI-Client Zugriff auf Ihre CRL hat.

Für BPA einrichten CloudFront

Erstellen Sie eine CloudFront Distribution, die Zugriff auf Ihren privaten S3-Bucket hat und CRLs für nicht authentifizierte Clients bereitstellen kann.

Um eine CloudFront Verteilung für die CRL zu konfigurieren

  1. Erstellen Sie eine neue CloudFront Distribution, indem Sie das Verfahren unter Erstellen einer Distribution im Amazon CloudFront Developer Guide verwenden.

    Wenden Sie beim Abschluss des Verfahrens die folgenden Einstellungen an:

    • Wählen Sie unter Origin Domain Name Ihren S3-Bucket aus.

    • Wählen Sie Ja für Bucket-Zugriff einschränken aus.

    • Wählen Sie „Neue Identität erstellen“ für Origin Access Identity aus.

    • Wählen Sie unter Leseberechtigungen für Bucket gewähren die Option Ja, Bucket-Richtlinie aktualisieren aus.

      Anmerkung

      In diesem Verfahren wird Ihre Bucket-Richtlinie so CloudFront geändert, dass sie auf Bucket-Objekte zugreifen kann. Erwägen Sie, diese Richtlinie so zu bearbeiten, dass nur auf Objekte im crl Ordner zugegriffen werden kann.

  2. Nachdem die Distribution initialisiert wurde, suchen Sie ihren Domänennamen in der CloudFront Konsole und speichern Sie ihn für den nächsten Vorgang.

    Anmerkung

    Wenn Ihr S3-Bucket in einer anderen Region als us-east-1 neu erstellt wurde, erhalten Sie möglicherweise einen temporären HTTP-Umleitungsfehler 307, wenn Sie über Ihre veröffentlichte Anwendung zugreifen. CloudFront Es kann mehrere Stunden dauern, bis die Adresse des Buckets weitergegeben wird.

Richten Sie Ihre CA für BPA ein

Geben Sie bei der Konfiguration Ihrer neuen CA den Alias für Ihre CloudFront Distribution an.

So konfigurieren Sie Ihre CA mit einem CNAME für CloudFront

  • Erstellen Sie Ihre CA mitErstellen Sie eine private CA in AWS Private CA.

    Wenn Sie das Verfahren ausführen, revoke_config.txt sollte die Sperrdatei die folgenden Zeilen enthalten, um ein nicht öffentliches CRL-Objekt anzugeben und eine URL zum Verteilungsendpunkt bereitzustellen in: CloudFront

    "S3ObjectAcl":"BUCKET_OWNER_FULL_CONTROL",
	"CustomCname":"abcdef012345.cloudfront.net"

    Wenn Sie anschließend Zertifikate mit dieser CA ausstellen, enthalten diese einen Block wie den folgenden:

    X509v3 CRL Distribution Points: 
	Full Name:
	URI:http://abcdef012345.cloudfront.net/crl/01234567-89ab-cdef-0123-456789abcdef.crl
Anmerkung

Wenn Sie über ältere Zertifikate verfügen, die von dieser Zertifizierungsstelle ausgestellt wurden, können diese nicht auf die CRL zugreifen.

Ermitteln des CRL Distribution Point (CDP) -URI

Wenn Sie den CRL Distribution Point (CDP) -URI in Ihrem Arbeitsablauf verwenden müssen, können Sie entweder ein Zertifikat ausstellen, den CRL-URI auf diesem Zertifikat verwenden oder die folgende Methode verwenden. Dies funktioniert nur für vollständige CRLs. Partitionierten CRLs wird eine zufällige GUID angehängt.

Wenn Sie den S3-Bucket als CRL Distribution Point (CDP) für Ihre CA verwenden, kann die CDP-URI in einem der folgenden Formate vorliegen.

  • http://amzn-s3-demo-bucket.s3.region-code.amazonaws.com/crl/CA-ID.crl

  • http://s3.region-code.amazonaws.com/amzn-s3-demo-bucket/crl/CA-ID.crl

Wenn Sie Ihre CA mit einem benutzerdefinierten CNAME konfiguriert haben, enthält die CDP-URI den CNAME, zum Beispiel http://alternative.example.com/crl/CA-ID.crl

AWS Private CA Schreibt CDP-Erweiterungen standardmäßig mithilfe regionaler Endpunkte. IPv4-only amazonaws.com Um CRLs über IPv6 zu verwenden, führen Sie einen der folgenden Schritte aus, damit CDPs mit URLs geschrieben werden, die auf die Dualstack-Endpunkte von S3 verweisen:

  • Stellen Sie Ihren benutzerdefinierten CRL-Namen auf die S3-Dualstack-Endpunktdomäne ein. Beispiel: bucketname.s3.dualstack.region-code.amazonaws.com

  • Richten Sie Ihren eigenen CNAME-DNS-Eintrag ein, der auf den entsprechenden S3-Dualstack-Endpunkt verweist, und verwenden Sie ihn dann als Ihren benutzerdefinierten CRL-Namen