Personalize o URL do OCSP para AWS Private CA - AWS Private Certificate Authority

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Personalize o URL do OCSP para AWS Private CA

nota

Este tópico é para clientes que desejam personalizar a URL pública do endpoint do respondente do Online Certificate Status Protocol (OCSP) para fins de identidade visual ou outros fins. Se você planeja usar a configuração padrão do OCSP CA privada da AWS gerenciado, pode ignorar este tópico e seguir as instruções de configuração em Configurar revogação.

Por padrão, quando você habilita o OCSP para CA privada da AWS, cada certificado emitido contém a URL do respondente AWS OCSP. Isso permite que os clientes que solicitam uma conexão criptograficamente segura enviem consultas de validação OCSP diretamente à AWS. Porém, em alguns casos, pode ser preferível indicar uma URL diferente em seus certificados e, ao mesmo tempo, enviar consultas OCSP à AWS.

nota

Para obter informações sobre como usar uma lista de revogação de certificados (CRL) como alternativa ou suplemento ao OCSP, consulte Configurar a revogação e Planejar uma lista de revogação de certificados (CRL).

Três elementos estão envolvidos na configuração de um URL personalizado para o OCSP.

O diagrama a seguir ilustra como esses elementos funcionam em conjunto.

Topologia OCSP personalizada

Conforme mostrado no diagrama, o processo de validação personalizado do OCSP envolve as etapas a seguir:

  1. O cliente consulta o DNS para o domínio de destino.

  2. O cliente recebe o IP de destino.

  3. O cliente abre uma conexão TCP com o destino.

  4. O cliente recebe o certificado TLS de destino.

  5. O cliente consulta o DNS para o domínio OCSP listado no certificado.

  6. O cliente recebe o IP do proxy.

  7. O cliente envia a consulta OCSP para o proxy.

  8. O proxy encaminha a consulta ao agente de resposta OCSP.

  9. O agente de resposta retorna o status do certificado para o proxy.

  10. O proxy encaminha o status do certificado ao cliente.

  11. Se o certificado for válido, o cliente iniciará o handshake de TLS.

dica

Esse exemplo pode ser implementado usando a Amazon CloudFront e o Amazon Route 53 depois de configurar uma CA conforme descrito acima.

  1. Em CloudFront, crie uma distribuição e configure-a da seguinte forma:

    • Crie um nome alternativo que corresponda ao CNAME personalizado.

    • Vincule o certificado a ele.

    • Defina ocsp.acm-pca. <region>.amazonaws.com como origem.

    • Aplique a política Managed-CachingDisabled.

    • Defina Política de protocolo do visualizador para HTTP e HTTPS.

    • Defina Métodos HTTP permitidos como GET, HEAD, OPTIONS, PUT, POST, PATCH, DELETE.

  2. No Route 53, crie um registro DNS que mapeie seu CNAME personalizado para a URL da CloudFront distribuição.