View a markdown version of this page

Planen Sie Ihre AWS Private CA Methode zum Widerruf von Zertifikaten - AWS Private Certificate Authority
Voraussetzungen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Planen Sie Ihre AWS Private CA Methode zum Widerruf von Zertifikaten

Bei der Planung Ihrer privaten PKI sollten Sie berücksichtigen AWS Private CA, wie Sie mit Situationen umgehen können, in denen Sie nicht mehr möchten, dass Endgeräte einem ausgestellten Zertifikat vertrauen, z. B. wenn der private Schlüssel eines Endpunkts offengelegt wird. Die gängigsten Lösungsansätze für dieses Problem sind die Verwendung kurzlebiger Zertifikate oder die Konfiguration der Zertifikatssperrung. Short-livedZertifikate laufen in so kurzer Zeit ab, in Stunden oder Tagen, dass ein Widerruf keinen Sinn macht. Das Zertifikat wird in etwa der gleichen Zeit ungültig, die benötigt wird, um einen Endpunkt über den Widerruf zu benachrichtigen. In diesem Abschnitt werden die Sperroptionen für AWS Private CA Kunden beschrieben, einschließlich Konfiguration und Best Practices.

Kunden, die nach einer Sperrmethode suchen, können zwischen dem Online Certificate Status Protocol (OCSP), den Zertifikatssperrlisten (CRLs) oder beiden wählen.

Anmerkung

Wenn Sie Ihre CA erstellen, ohne den Widerruf zu konfigurieren, können Sie sie später jederzeit konfigurieren. Weitere Informationen finden Sie unter Aktualisieren Sie eine private CA in AWS Private Certificate Authority.

  • Online Certificate Status Protocol (OCSP)

    AWS Private CA bietet eine vollständig verwaltete OCSP-Lösung, mit der Endgeräte über den Widerruf von Zertifikaten informiert werden können, ohne dass die Kunden die Infrastruktur selbst betreiben müssen. Kunden können OCSP auf neuen oder vorhandenen CAs mit einem einzigen Vorgang über die AWS Private CA Konsole, die API, die CLI oder über aktivieren. CloudFormation Während CRLs auf dem Endpunkt gespeichert und verarbeitet werden und veraltet werden können, werden OCSP-Speicher- und Verarbeitungsanforderungen synchron im Responder-Backend behandelt.

    Wenn Sie OCSP für eine CA aktivieren, AWS Private CA wird die URL des OCSP-Responders in die Erweiterung für den Authority Information Access (AIA) jedes neu ausgestellten Zertifikats aufgenommen. Die Erweiterung ermöglicht es Clients wie Webbrowsern, den Responder abzufragen und festzustellen, ob eine Endeinheit oder ein untergeordnetes CA-Zertifikat als vertrauenswürdig eingestuft werden kann. Der Responder gibt eine Statusmeldung zurück, die kryptografisch signiert ist, um ihre Echtheit sicherzustellen.

    Der AWS Private CA OCSP-Responder entspricht RFC 5019. https://datatracker.ietf.org/doc/html/rfc5019

    Überlegungen zu OCSP

    • OCSP-Statusmeldungen werden mit demselben Signaturalgorithmus signiert, für dessen Verwendung die ausstellende CA konfiguriert wurde. In der AWS Private CA Konsole erstellte Zertifizierungsstellen verwenden standardmäßig den SHA256WITHRSA-Signaturalgorithmus. Andere unterstützte Algorithmen finden Sie in der API-Dokumentation. CertificateAuthorityConfiguration

    • Die Zertifikatsvorlagen ApiPassthrough und CSRPassthrough funktionieren nicht mit der AIA-Erweiterung, wenn der OCSP-Responder aktiviert ist.

    • Der Endpunkt des verwalteten OCSP-Dienstes ist über das öffentliche Internet zugänglich. Kunden, die OCSP nutzen, aber keinen öffentlichen Endpunkt haben möchten, müssen ihre eigene OCSP-Infrastruktur betreiben.

  • Zertifikatssperrlisten (CRLs)

    Eine Zertifikatssperrliste (CRL) ist eine Datei, die eine Liste von Zertifikaten enthält, die vor ihrem geplanten Ablaufdatum gesperrt wurden. Die CRL enthält eine Liste von Zertifikaten, denen nicht mehr vertraut werden sollte, den Grund für den Widerruf und andere relevante Informationen.

    Wenn Sie Ihre Zertifizierungsstelle (CA) konfigurieren, können Sie wählen, ob eine vollständige oder partitionierte AWS Private CA CRL erstellt wird. Ihre Auswahl bestimmt die maximale Anzahl von Zertifikaten, die die Zertifizierungsstelle ausstellen und widerrufen kann. Weitere Informationen finden Sie unter AWS Private CA -Kontingente.

    Überlegungen zur CRL

    • Überlegungen zu Arbeitsspeicher und Bandbreite: CRLs benötigen aufgrund der lokalen Download- und Verarbeitungsanforderungen mehr Speicher als OCSP. CRLs können jedoch im Vergleich zu OCSP die Netzwerkbandbreite reduzieren, indem Sperrlisten zwischengespeichert werden, anstatt den Status pro Verbindung zu überprüfen. Bei Geräten mit eingeschränktem Speicherplatz, wie z. B. bestimmten IoT-Geräten, sollten Sie die Verwendung partitionierter CRLs in Betracht ziehen.

    • Änderung des CRL-Typs: Wenn Sie von einer vollständigen zu einer partitionierten CRL wechseln, werden bei Bedarf neue Partitionen AWS Private CA erstellt und allen CRLs, einschließlich der ursprünglichen, die IDP-Erweiterung hinzugefügt. Durch den Wechsel von partitioniert zu vollständig wird nur eine einzige CRL aktualisiert und der zukünftige Widerruf von Zertifikaten, die mit früheren Partitionen verknüpft waren, verhindert.

Anmerkung

Sowohl bei OCSP als auch bei CRLs kommt es zu einer gewissen Verzögerung zwischen dem Widerruf und der Verfügbarkeit der Statusänderung.

  • Es kann bis zu 60 Minuten dauern, bis OCSP-Antworten den neuen Status wiedergeben, wenn Sie ein Zertifikat widerrufen. Im Allgemeinen unterstützt OCSP in der Regel eine schnellere Verteilung von Sperrinformationen, da OCSP-Antworten im Gegensatz zu CRLs, die von Clients tagelang zwischengespeichert werden können, in der Regel nicht von Clients zwischengespeichert werden.

  • Eine Zertifikatssperrliste wird in der Regel etwa 30 Minuten nach Widerrufen eines Zertifikats aktualisiert. Wenn ein CRL-Update aus irgendeinem Grund fehlschlägt, werden alle 15 Minuten weitere Versuche unternommen AWS Private CA .

Allgemeine Anforderungen für Sperrkonfigurationen

Die folgenden Anforderungen gelten für alle Sperrkonfigurationen.

  • Eine Konfiguration, die CRLs oder OCSP deaktiviert, darf nur den Enabled=False-Parameter enthalten und schlägt fehl, wenn andere Parameter wie CustomCname oder ExpirationInDays enthalten sind.

  • In einer CRL-Konfiguration muss der S3BucketName Parameter den Bucket-Benennungsregeln von Amazon Simple Storage Service entsprechen.

  • Eine Konfiguration, die einen benutzerdefinierten Canonical Name-Parameter (CNAME) für CRLs oder OCSP enthält, muss den https://www.ietf.org/rfc/rfc7230.txt RFC7230-Beschränkungen für die Verwendung von Sonderzeichen in einem CNAME entsprechen.

  • In einer CRL- oder OCSP-Konfiguration darf der Wert von CNAME kein Protokollpräfix wie „http://“ oder „https://“ enthalten.

Themen