View a markdown version of this page

Rencanakan AWS Private CA metode pencabutan sertifikat - AWS Private Certificate Authority
Persyaratan

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Rencanakan AWS Private CA metode pencabutan sertifikat

Saat Anda merencanakan PKI pribadi Anda AWS Private CA, Anda harus mempertimbangkan cara menangani situasi di mana Anda tidak lagi ingin titik akhir mempercayai sertifikat yang dikeluarkan, seperti ketika kunci pribadi titik akhir diekspos. Pendekatan umum untuk masalah ini adalah dengan menggunakan sertifikat berumur pendek atau untuk mengkonfigurasi pencabutan sertifikat. Short-livedsertifikat kedaluwarsa dalam waktu yang singkat, dalam jam atau hari, sehingga pencabutan tidak masuk akal, dengan sertifikat menjadi tidak valid dalam waktu yang hampir sama dengan waktu yang dibutuhkan untuk memberi tahu titik akhir pencabutan. Bagian ini menjelaskan opsi pencabutan untuk AWS Private CA pelanggan, termasuk konfigurasi dan praktik terbaik.

Pelanggan yang mencari metode pencabutan dapat memilih Protokol Status Sertifikat Online (OCSP), daftar pencabutan sertifikat (CRL), atau keduanya.

catatan

Jika Anda membuat CA tanpa mengonfigurasi pencabutan, Anda selalu dapat mengonfigurasinya nanti. Untuk informasi selengkapnya, lihat Memperbarui CA pribadi di AWS Private Certificate Authority.

  • Protokol Status Sertifikat Online (OCSP)

    AWS Private CA menyediakan solusi OCSP yang dikelola sepenuhnya untuk memberi tahu titik akhir bahwa sertifikat telah dicabut tanpa perlu bagi pelanggan untuk mengoperasikan infrastruktur sendiri. Pelanggan dapat mengaktifkan OCSP pada CA baru atau yang sudah ada dengan satu operasi menggunakan AWS Private CA konsol, API, CLI, atau melalui. CloudFormation Sedangkan CRL disimpan dan diproses pada titik akhir dan dapat menjadi basi, penyimpanan OCSP dan persyaratan pemrosesan ditangani secara serempak pada backend responder.

    Saat Anda mengaktifkan OCSP untuk CA, ser AWS Private CA takan URL responder OCSP di ekstensi Authority Information Access (AIA) dari setiap sertifikat baru yang dikeluarkan. Ekstensi ini memungkinkan klien seperti browser web untuk menanyakan responder dan menentukan apakah entitas akhir atau sertifikat CA bawahan dapat dipercaya. Responder mengembalikan pesan status yang ditandatangani secara kriptografis untuk memastikan keasliannya.

    Responder AWS Private CA OCSP sesuai dengan RFC 5019.

    Pertimbangan OCSP

    • Pesan status OCSP ditandatangani menggunakan algoritma penandatanganan yang sama dengan yang dikonfigurasi CA penerbit untuk digunakan. CA yang dibuat di AWS Private CA konsol menggunakan algoritma tanda tangan SHA256WITHRSA secara default. Algoritma lain yang didukung dapat ditemukan di dokumentasi CertificateAuthorityConfiguration API.

    • Templat sertifikat APIPassThrough dan CSRPassThrough tidak akan berfungsi dengan ekstensi AIA jika responder OCSP diaktifkan.

    • Titik akhir dari layanan OCSP terkelola dapat diakses di internet publik. Pelanggan yang menginginkan OCSP tetapi memilih untuk tidak memiliki titik akhir publik perlu mengoperasikan infrastruktur OCSP mereka sendiri.

  • Daftar Pencabutan Sertifikat (CRL)

    Daftar pencabutan sertifikasi (CRL) adalah file yang berisi daftar sertifikat yang dicabut sebelum tanggal kedaluwarsa yang dijadwalkan. CRL berisi daftar sertifikat yang seharusnya tidak lagi dipercaya, alasan pencabutan, dan informasi relevan lainnya.

    Saat mengonfigurasi otoritas sertifikat (CA), Anda dapat memilih apakah membuat AWS Private CA CRL lengkap atau dipartisi. Pilihan Anda menentukan jumlah maksimum sertifikat yang dapat dikeluarkan dan dicabut otoritas sertifikat. Untuk informasi selengkapnya, lihat AWS Private CA kuota.

    Pertimbangan CRL

    • Pertimbangan memori dan bandwidth: CRL membutuhkan lebih banyak memori daripada OCSP karena persyaratan pengunduhan dan pemrosesan lokal. Namun, CRL mungkin mengurangi bandwidth jaringan dibandingkan dengan OCSP dengan caching daftar pencabutan alih-alih memeriksa status per koneksi. Untuk perangkat yang dibatasi memori, seperti perangkat IoT tertentu, pertimbangkan untuk menggunakan CRL yang dipartisi.

    • Mengubah tipe CRL: Saat mengubah dari CRL lengkap ke yang dipartisi, buat partisi AWS Private CA baru sesuai kebutuhan dan menambahkan ekstensi IDP ke semua CRL, termasuk yang asli. Mengubah dari dipartisi ke menyelesaikan pembaruan hanya satu CRL dan mencegah pencabutan sertifikat di masa mendatang yang terkait dengan partisi sebelumnya.

catatan

Baik OCSP maupun CRL menunjukkan beberapa penundaan antara pencabutan dan ketersediaan perubahan status.

  • Tanggapan OCSP mungkin memakan waktu hingga 60 menit untuk mencerminkan status baru saat Anda mencabut sertifikat. Secara umum, OCSP cenderung mendukung distribusi informasi pencabutan yang lebih cepat karena, tidak seperti CRL yang dapat di-cache oleh klien selama berhari-hari, respons OCSP biasanya tidak di-cache oleh klien.

  • CRL biasanya diperbarui sekitar 30 menit setelah sertifikat dicabut. Jika karena alasan apa pun pembaruan CRL gagal, lakukan AWS Private CA upaya lebih lanjut setiap 15 menit.

Persyaratan umum untuk konfigurasi pencabutan

Persyaratan berikut berlaku untuk semua konfigurasi pencabutan.

  • Konfigurasi yang menonaktifkan CRL atau OCSP harus berisi hanya Enabled=False parameter, dan akan gagal jika parameter lain seperti CustomCname atau ExpirationInDays disertakan.

  • Dalam konfigurasi CRL, S3BucketName parameter harus sesuai dengan aturan penamaan bucket Amazon Simple Storage Service.

  • Konfigurasi yang berisi parameter Canonical Name (CNAME) khusus untuk CRL atau OCSP harus sesuai dengan batasan RFC7230 pada penggunaan karakter khusus dalam CNAME.

  • Dalam konfigurasi CRL atau OCSP, nilai parameter CNAME tidak boleh menyertakan awalan protokol seperti “http://” atau “https://”.

Topik