View a markdown version of this page

Configurar uma CRL para CA privada da AWS - Autoridade de certificação privada da AWS
Tipos de CRLEstrutura da CRLPolíticas de acesso para CRLs no Amazon S3S3 BPA com CloudFrontDeterminando o URI do ponto de distribuição de CRL (CDP)

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configurar uma CRL para CA privada da AWS

Antes de configurar uma lista de revogação de certificados (CRL) como parte do processo de criação da CA, algumas configurações anteriores podem ser necessárias. Esta seção explica os pré-requisitos e as opções que você deve entender antes de criar uma CA com uma CRL anexada.

Para obter informações sobre como usar o Online Certificate Status Protocol (OCSP) como alternativa ou suplemento a uma CRL, consulte e Certificate revocation options e .Personalize o URL do OCSP para CA privada da AWS

Tipos de CRL

  • Concluído - A configuração padrão. CA privada da AWS mantém um arquivo CRL único e não particionado para todos os certificados não expirados emitidos por uma CA que foram revogados. Cada certificado CA privada da AWS emitido está vinculado a uma CRL específica por meio de sua extensão de ponto de distribuição de CRL (CDP), conforme definido na RFC 5280. Você pode ter até 1 milhão de certificados privados para cada CA com a CRL completa ativada. Para obter mais informações, consulte as CA privada da AWS cotas.

  • Particionadas — Em comparação com as CRLs completas, as CRLs particionadas aumentam drasticamente o número de certificados que sua CA privada pode emitir e evitam que você alterne suas CAs com frequência.

    Importante

    Ao usar CRLs particionadas, você deve validar se o URI do ponto de distribuição emissor (IDP) associado à CRL corresponde ao URI CDP do certificado para garantir que a CRL correta tenha sido obtida. CA privada da AWS marca a extensão do IDP como crítica, que seu cliente deve ser capaz de processar.

Estrutura da CRL

Cada CRL é um arquivo DER codificado. Para fazer download do arquivo e usar o OpenSSL para visualizá-lo, use um comando como o seguinte:

openssl crl -inform DER -in path-to-crl-file -text -noout

As CRLs têm o formato a seguir:

Certificate Revocation List (CRL):
		        Version 2 (0x1)
		    Signature Algorithm: sha256WithRSAEncryption
		        Issuer: /C=US/ST=WA/L=Seattle/O=Example Company CA/OU=Corporate/CN=www.example.com
		        Last Update: Feb 26 19:28:25 2018 GMT
		        Next Update: Feb 26 20:28:25 2019 GMT
		        CRL extensions:
		            X509v3 Authority Key Identifier:
		                keyid:AA:6E:C1:8A:EC:2F:8F:21:BC:BE:80:3D:C5:65:93:79:99:E7:71:65
		
		            X509v3 CRL Number:
		                1519676905984
		Revoked Certificates:
		    Serial Number: E8CBD2BEDB122329F97706BCFEC990F8
		        Revocation Date: Feb 26 20:00:36 2018 GMT
		        CRL entry extensions:
		            X509v3 CRL Reason Code:
		                Key Compromise
		    Serial Number: F7D7A3FD88B82C6776483467BBF0B38C
		        Revocation Date: Jan 30 21:21:31 2018 GMT
		        CRL entry extensions:
		            X509v3 CRL Reason Code:
		                Key Compromise
		    Signature Algorithm: sha256WithRSAEncryption
		         82:9a:40:76:86:a5:f5:4e:1e:43:e2:ea:83:ac:89:07:49:bf:
		         c2:fd:45:7d:15:d0:76:fe:64:ce:7b:3d:bb:4c:a0:6c:4b:4f:
		         9e:1d:27:f8:69:5e:d1:93:5b:95:da:78:50:6d:a8:59:bb:6f:
		         49:9b:04:fa:38:f2:fc:4c:0d:97:ac:02:51:26:7d:3e:fe:a6:
		         c6:83:34:b4:84:0b:5d:b1:c4:25:2f:66:0a:2e:30:f6:52:88:
		         e8:d2:05:78:84:09:01:e8:9d:c2:9e:b5:83:bd:8a:3a:e4:94:
		         62:ed:92:e0:be:ea:d2:59:5b:c7:c3:61:35:dc:a9:98:9d:80:
		         1c:2a:f7:23:9b:fe:ad:6f:16:7e:22:09:9a:79:8f:44:69:89:
		         2a:78:ae:92:a4:32:46:8d:76:ee:68:25:63:5c:bd:41:a5:5a:
		         57:18:d7:71:35:85:5c:cd:20:28:c6:d5:59:88:47:c9:36:44:
		         53:55:28:4d:6b:f8:6a:00:eb:b4:62:de:15:56:c8:9c:45:d7:
		         83:83:07:21:84:b4:eb:0b:23:f2:61:dd:95:03:02:df:0d:0f:
		         97:32:e0:9d:38:de:7c:15:e4:36:66:7a:18:da:ce:a3:34:94:
		         58:a6:5d:5c:04:90:35:f1:8b:55:a9:3c:dd:72:a2:d7:5f:73:
		         5a:2c:88:85
nota

Quando você configura uma CRL para uma CA, CA privada da AWS grava um objeto de teste no bucket do Amazon S3 para verificar se ele tem permissão para gravar no bucket. O objeto é nomeado acm-pca-permission-test-key ou acm-pca-permission-test-key-private S3ObjectAcl está definido comoBUCKET_OWNER_FULL_CONTROL.

Para uma CRL completa, CA privada da AWS grava a primeira CRL no bucket logo após a configuração da CRL, normalmente em 30 minutos, mesmo que a CA não tenha emitido nenhum certificado. A CRL fica vazia até que você revogue um certificado e o CA privada da AWS atualize periodicamente.

Para CRLs particionadas, CA privada da AWS grava a CRL para uma partição somente depois que a CA emitir um certificado que se refira a essa partição. CA privada da AWS também grava uma CRL completa,CA-ID.crl, no bucket logo após a configuração da CRL, mesmo que a CA não tenha emitido nenhum certificado. Se a CA sempre usou CRLs particionadas, nenhum certificado se refere a essa CRL, então ela está sempre vazia e você pode ignorá-la.

Políticas de acesso para CRLs no Amazon S3

Se você planeja criar uma CRL, precisa preparar um bucket do Amazon S3 para armazená-la. CA privada da AWS deposita automaticamente a CRL no bucket do Amazon S3 que você designar e a atualiza periodicamente. Para mais informações, consulte Criar um bucket.

Seu bucket do S3 deve ser protegido por uma política de permissões do IAM anexada. Usuários autorizados e diretores de serviços precisam de Put permissão CA privada da AWS para permitir a colocação de objetos no bucket e Get permissão para recuperá-los.

nota

A configuração da política do IAM depende dos Regiões da AWS envolvidos. Regiões se encaixam em duas categorias:

  • Default-enabled Regiões — Regiões que são habilitadas por padrão para todos Contas da AWS.

  • Default-disabled Regiões — Regiões que estão desativadas por padrão, mas podem ser ativadas manualmente pelo cliente.

Para obter mais informações e uma lista das regiões desabilitadas por padrão, consulte Gerenciar Regiões da AWS. Para uma discussão sobre entidades principais de serviço no contexto do IAM, consulte Entidades principais os de serviços do AWS em regiões opcionais.

Quando você configura CRLs como método de revogação de certificado, o CA privada da AWS cria uma CRL e a publica em um bucket do S3. O bucket do S3 exige uma política de IAM que permita que o responsável pelo CA privada da AWS serviço grave no bucket. O nome da entidade principal de serviço varia de acordo com as regiões usadas, e não há suporte para todas as possibilidades.

PCA S3 Entidade principal do serviço

Ambos na mesma região

acm-pca.amazonaws.com

Habilitado

Habilitado

acm-pca.amazonaws.com
Desabilitado Habilitado

acm-pca.Region.amazonaws.com
Habilitado Desabilitado

Não compatível

A política padrão não aplica restrição de SourceArn à CA. Recomendamos que você aplique uma política menos permissiva, como a seguinte, que restringe o acesso a uma AWS conta específica e a uma CA privada específica. Como alternativa, você pode usar a chave de condição aws: SourceOrg ID para restringir o acesso a uma organização específica em. AWS Organizations Para obter mais informações sobre políticas de bucket, consulte Políticas de bucket para o Amazon Simple Storage Service.

Se você optar por permitir a política padrão, sempre poderá modificá-la mais tarde.

Habilite o S3 Block Public Access (BPA) com CloudFront

Novos buckets do Amazon S3 são configurados por padrão com o recurso Bloqueio de acesso público (BPA) ativado. Incluído nas práticas recomendadas de segurança do Amazon S3, o BPA é um conjunto de controles de acesso que os clientes podem utilizar para ajustar o acesso aos objetos em seus buckets do S3 e aos buckets como um todo. Quando o BPA está ativo e configurado corretamente, somente AWS usuários autorizados e autenticados têm acesso a um bucket e seu conteúdo.

AWS recomenda o uso de BPA em todos os buckets S3 para evitar a exposição de informações confidenciais a possíveis adversários. No entanto, um planejamento adicional é necessário se seus clientes de PKI recuperarem CRLs na Internet pública (ou seja, enquanto não estiverem conectados a uma conta). AWS Esta seção descreve como configurar uma solução de PKI privada usando a Amazon CloudFront, uma rede de entrega de conteúdo (CDN), para atender CRLs sem exigir acesso autenticado do cliente a um bucket do S3.

nota

O uso CloudFront gera custos adicionais em sua AWS conta. Para obter mais informações, consulte CloudFront Preços da Amazon.

Se você optar por armazenar sua CRL em um bucket do S3 com o BPA ativado e não usar CloudFront, deverá criar outra solução de CDN para garantir que seu cliente de PKI tenha acesso à sua CRL.

Configurado CloudFront para o BPA

Crie uma CloudFront distribuição que tenha acesso ao seu bucket privado do S3 e possa servir CRLs para clientes não autenticados.

Para configurar uma CloudFront distribuição para a CRL

  1. Crie uma nova CloudFront distribuição usando o procedimento em Criação de uma distribuição no Guia do CloudFront desenvolvedor da Amazon.

    Ao concluir o procedimento, aplique as configurações a seguir:

    • Em Nome de domínio de origem, escolha o bucket do S3.

    • Escolha Sim para Restringir acesso ao bucket.

    • Escolha Criar uma nova identidade para Identidade de acesso à origem.

    • Escolha Sim, atualizar política do bucket em Conceder permissões de leitura no bucket.

      nota

      Neste procedimento, CloudFront modifica sua política de bucket para permitir que ela acesse objetos de bucket. Considere editar essa política para permitir o acesso somente aos objetos na pasta crl.

  2. Depois que a distribuição for inicializada, localize seu nome de domínio no CloudFront console e salve-o para o próximo procedimento.

    nota

    Se seu bucket do S3 foi criado recentemente em uma região diferente de us-east-1, você poderá receber um erro de redirecionamento temporário HTTP 307 ao acessar seu aplicativo publicado por meio dele. CloudFront Pode demorar várias horas para que o endereço do bucket se propague.

Configurar sua CA para o BPA

Ao configurar sua nova CA, inclua o alias em sua CloudFront distribuição.

Para configurar sua CA com um CNAME para CloudFront

  • Crie sua CA usando a Crie uma CA privada em CA privada da AWS.

    Quando você executa o procedimento, o arquivo de revogação revoke_config.txt deve incluir as seguintes linhas para especificar um objeto CRL não público e fornecer uma URL para o endpoint de distribuição em: CloudFront

    "S3ObjectAcl":"BUCKET_OWNER_FULL_CONTROL",
	"CustomCname":"abcdef012345.cloudfront.net"

    Mais tarde, quando você emitir certificados com essa CA, eles conterão um bloco como o seguinte:

    X509v3 CRL Distribution Points: 
	Full Name:
	URI:http://abcdef012345.cloudfront.net/crl/01234567-89ab-cdef-0123-456789abcdef.crl
nota

Se houver certificados mais antigos emitidos por essa CA, eles não conseguirão acessar a CRL.

Determinando o URI do ponto de distribuição de CRL (CDP)

Se precisar usar o URI do ponto de distribuição de CRL (CDP) em seu fluxo de trabalho, você pode emitir um certificado, usar o URI de CRL nesse certificado ou usar o método a seguir. Isso só funciona para CRLs completas. As CRLs particionadas têm um GUID aleatório anexado a elas.

Se você usar o bucket do S3 como o ponto de distribuição de CRL (CDP) para sua CA, o URI do CDP poderá estar em um dos seguintes formatos.

  • http://amzn-s3-demo-bucket.s3.region-code.amazonaws.com/crl/CA-ID.crl

  • http://s3.region-code.amazonaws.com/amzn-s3-demo-bucket/crl/CA-ID.crl

Se você configurou sua CA com um CNAME personalizado, o URI do CDP incluirá o CNAME, por exemplo, http://alternative.example.com/crl/CA-ID.crl

Por padrão, CA privada da AWS grava extensões CDP usando IPv4-only amazonaws.com endpoints regionais. Para usar CRLs em IPv6, siga uma das etapas a seguir para que os CDPs sejam gravados com URLs que apontem para os endpoints de pilha dupla do S3:

  • Defina seu nome personalizado de CRL para o domínio de endpoint S3 dualstack. Por exemplo, bucketname.s3.dualstack.region-code.amazonaws.com.

  • Configure seu próprio registro DNS CNAME apontando para o endpoint S3 dualstack relevante e use-o como seu nome personalizado de CRL