Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Aktualisieren Sie eine private CA in AWS Private Certificate Authority Sie können den Status einer privaten CA aktualisieren oder ändern [Konfiguration des Sperrvorgangs](revocation-setup.md) nach der Erstellung. Dieses Thema enthält Details zum CA-Status und zum CA-Lebenszyklus sowie Beispiele für Konsolen- und CLI-Updates für Zertifizierungsstellen. ## Aktualisieren Sie eine CA (Konsole) Die folgenden Verfahren zeigen, wie Sie vorhandene CA-Konfigurationen mithilfe von aktualisieren AWS-Managementkonsole. ### CA-Status aktualisieren (Konsole) In diesem Beispiel wird der Status einer aktivierten CA in deaktiviert geändert. **Um den Status einer CA zu aktualisieren** 1. Melden Sie sich bei Ihrem an AWS Konto und eröffne das AWS Private CA Konsole bei [https://console.aws.amazon.com/acm-pca/home](https://console.aws.amazon.com/acm-pca/home) 1. Auf der **Private Zertifizierungsstellen** Seite, wählen Sie eine private CA, die derzeit aktiv ist, aus der Liste aus. 1. Auf der **Aktionen** Menü, wähle **Deaktiviert** um die private CA zu deaktivieren. ### Aktualisierung der Sperrkonfiguration einer CA (Konsole) Sie können das aktualisieren [Konfiguration des Sperrvorgangs](revocation-setup.md) für Ihre private CA, zum Beispiel, indem Sie entweder OCSP- oder CRL-Unterstützung hinzufügen oder entfernen oder indem Sie deren Einstellungen ändern. **Anmerkung** Änderungen an der Sperrkonfiguration einer CA wirken sich nicht auf Zertifikate aus, die bereits ausgestellt wurden. Damit die verwaltete Sperrung funktioniert, müssen ältere Zertifikate erneut ausgestellt werden. Für OCSP ändern Sie die folgenden Einstellungen: + Aktivieren oder deaktivieren Sie OCSP. + Aktivieren oder deaktivieren Sie einen benutzerdefinierten vollqualifizierten OCSP-Domänennamen (FQDN). + Ändern Sie den FQDN. Für eine CRL können Sie jede der folgenden Einstellungen ändern: + Der CRL-Typ (vollständig oder partitioniert) + Gibt an, ob die private CA eine Zertifikatsperrliste (CRL) generiert + Die Anzahl der Tage, bevor eine Zertifikatsperrliste abläuft. Beachten Sie das AWS Private CA beginnt mit dem Versuch, die CRL nach der Hälfte der von Ihnen angegebenen Anzahl von Tagen zu regenerieren. + Der Name des Amazon S3-Buckets, in dem Ihre CRL gespeichert ist. + Ein Alias, um den Namen Ihres Amazon S3-Buckets vor der Öffentlichkeit zu verbergen. **Wichtig** Das Ändern eines der vorherigen Parameter kann negative Auswirkungen haben. Dazu gehören beispielsweise das Deaktivieren der CRL-Generierung, das Ändern des Gültigkeitszeitraums oder das Ändern des S3-Buckets, nachdem Sie Ihre private CA in die Produktion aufgenommen haben. Solche Änderungen können bestehende Zertifikate beschädigen, die von der CRL und der aktuellen CRL-Konfiguration abhängen. Das Ändern des Alias kann sicher durchgeführt werden, solange der alte Alias mit dem richtigen Bucket verknüpft bleibt. **Um die Sperreinstellungen zu aktualisieren** 1. Melde dich bei deinem an AWS Konto und eröffne das AWS Private CA Konsole bei [https://console.aws.amazon.com/acm-pca/home](https://console.aws.amazon.com/acm-pca/home). 1. Auf der **Private Zertifizierungsstellen** Seite, wählen Sie eine private CA aus der Liste aus. Dadurch wird das Detailfenster für die CA geöffnet. 1. Wählen Sie das **Konfiguration für den Widerruf** Tab, dann wähle **Bearbeiten**. 1. Unter **Optionen zum Widerruf von Zertifikaten**, zwei Optionen werden angezeigt: + **CRL-Verteilung aktivieren** + **Schalten Sie OCSP ein** Sie können einen, keinen oder beide dieser Sperrmechanismen für Ihre CA konfigurieren. Obwohl optional, wird eine verwaltete Sperrung als [bewährte Methode](ca-best-practices.md). Bevor Sie diesen Schritt ausführen, lesen Sie [Planen Sie Ihre AWS Private CA Methode zum Widerruf von Zertifikaten](revocation-setup.md) finden Sie Informationen zu den Vorteilen der einzelnen Methoden, zur eventuell erforderlichen Vorabkonfiguration und zu zusätzlichen Sperrfunktionen. #### So konfigurieren Sie eine CRL 1. Wählen Sie **CRL-Verteilung aktivieren**. 1. Um einen Amazon S3-Bucket für Ihre CRL-Einträge zu erstellen, wählen Sie **Erstellen Sie einen neuen S3-Bucket**. Geben Sie einen eindeutigen Bucket-Namen an. (Sie müssen den Pfad zum Bucket nicht einschließen.) Lassen Sie andernfalls diese Option deaktiviert und wählen Sie einen vorhandenen Bucket aus dem **Name des S3-Buckets** Liste. Wenn Sie einen neuen Bucket erstellen, AWS Private CA erstellt und hängt das an [erforderliche Zugriffsrichtlinie](crl-planning.md#s3-policies) dazu. Wenn Sie sich dafür entscheiden, einen vorhandenen Bucket zu verwenden, müssen Sie ihm eine Zugriffsrichtlinie hinzufügen, bevor Sie mit der Generierung von CRLs beginnen können. Verwenden Sie eines der unter beschriebenen Richtlinienmuster [Zugriffsrichtlinien für CRLs in Amazon S3](crl-planning.md#s3-policies). Informationen zum Anhängen einer Richtlinie finden Sie unter [Hinzufügen einer Bucket-Richtlinie mithilfe der Amazon S3-Konsole](https://docs.aws.amazon.com/AmazonS3/latest/user-guide/add-bucket-policy.html). **Anmerkung** Wenn Sie das verwenden AWS Private CA Konsole, der Versuch, eine CA zu erstellen, schlägt fehl, wenn die beiden folgenden Bedingungen zutreffen: Sie setzen in Ihrem Amazon S3-Bucket oder Konto die Einstellungen zur Sperrung des öffentlichen Zugriffs durch. Sie haben gefragt AWS Private CA um automatisch einen Amazon S3-Bucket zu erstellen. In dieser Situation versucht die Konsole standardmäßig, einen öffentlich zugänglichen Bucket zu erstellen, und Amazon S3 lehnt diese Aktion ab. Überprüfen Sie in diesem Fall Ihre Amazon S3-Einstellungen. Weitere Informationen finden Sie unter [Blockieren des öffentlichen Zugriffs auf Ihren Amazon S3-Speicher](https://docs.aws.amazon.com/AmazonS3/latest/userguide/access-control-block-public-access.html). 1. Erweitern Sie **Erweitert**, um weitere Konfigurationsoptionen zu erhalten. + Wählen **Partitionierung aktivieren** um die Partitionierung von CRLs zu ermöglichen. Wenn Sie die Partitionierung nicht aktivieren, gilt für Ihre CA die maximale Anzahl gesperrter Zertifikate, die auf der [AWS Private Certificate Authority Quoten](https://docs.aws.amazon.com/general/latest/gr/pca.html#limits_pca). Weitere Informationen zu partitionierten CRLs finden Sie unter [CRL-Typen](crl-planning.md#crl-type). + Füge eine hinzu **Benutzerdefinierter CRL-Name** um einen Alias für Ihren Amazon S3-Bucket zu erstellen. Dieser Name ist in Zertifikaten enthalten, die von der CA in der Erweiterung „CRL Distribution Points“ ausgestellt wurden, die in RFC 5280 definiert ist. Um CRLs über IPv6 zu verwenden, setzen Sie dies auf den DualStack-S3-Endpunkt Ihres Buckets, wie unter beschrieben [Verwenden von CRLs über IPv6](crl-planning.md#crl-ipv6). + Füge eine hinzu **Benutzerdefinierter Pfad** um einen DNS-Alias für den Dateipfad in Ihrem Amazon S3-Bucket zu erstellen. + Geben Sie das ein **Gültigkeit in Tagen ** Ihre CRL bleibt gültig. Der Standardwert lautet 7 Tage. Für Online-CRLs ist eine Gültigkeitsdauer von 2-7 Tagen üblich. AWS Private CA versucht, die CRL zur Mitte des angegebenen Zeitraums zu regenerieren. 1. Wählen Sie **Änderungen speichern** wenn fertig. #### Um OCSP zu konfigurieren 1. Auf der** Widerruf des Zertifikats** Seite, wählen **Schalten Sie OCSP ein**. 1. (Optional) In der **Benutzerdefinierter OCSP-Endpunkt** Geben Sie in diesem Feld einen vollqualifizierten Domänennamen (FQDN) für Ihren OCSP-Endpunkt ein. Um OCSP über IPv6 zu verwenden, legen Sie in diesem Feld einen Dualstack-Endpunkt fest, wie unter beschrieben [Verwenden von OCSP über IPv6](ocsp-customize.md#ocsp-ipv6). Wenn Sie in diesem Feld einen FQDN angeben, AWS Private CA fügt den FQDN in den *Zugriff auf behördliche Informationen* Erweiterung jedes ausgestellten Zertifikats anstelle der Standard-URL für AWS OCSP-Responder. Wenn ein Endpunkt ein Zertifikat empfängt, das den benutzerdefinierten FQDN enthält, fragt er diese Adresse nach einer OCSP-Antwort ab. Damit dieser Mechanismus funktioniert, müssen Sie zwei zusätzliche Maßnahmen ergreifen: + Verwenden Sie einen Proxyserver, um den Datenverkehr, der an Ihrem benutzerdefinierten FQDN ankommt, an den weiterzuleiten AWS OCSP-Responder. + Fügen Sie Ihrer DNS-Datenbank einen entsprechenden CNAME-Eintrag hinzu. **Tipp** Weitere Informationen zur Implementierung einer vollständigen OCSP-Lösung mit einem benutzerdefinierten CNAME finden Sie unter [Passen Sie die OCSP-URL an für AWS Private CA](ocsp-customize.md). Hier ist zum Beispiel ein CNAME-Eintrag für benutzerdefiniertes OCSP, wie er in Amazon Route 53 erscheinen würde.
DatensatznameTypRouting-RichtlinieUnterscheidungsmerkmalValue/Route Verkehr zu
alternative.example.comCNAMEEinfach-proxy.example.com
**Anmerkung** Der Wert des CNAME darf kein Protokollpräfix wie „http://“ oder „https://“ enthalten. 1. Wählen Sie **Änderungen speichern** wenn fertig. ## Aktualisierung einer CA (CLI) Die folgenden Verfahren zeigen, wie Sie den Status aktualisieren und [Konfiguration des Sperrvorgangs](revocation-setup.md) einer vorhandenen CA, die AWS CLI. **Anmerkung** Änderungen an der Sperrkonfiguration einer CA wirken sich nicht auf Zertifikate aus, die bereits ausgestellt wurden. Damit die verwaltete Sperrung funktioniert, müssen ältere Zertifikate erneut ausgestellt werden. **Um den Status Ihrer privaten CA zu aktualisieren (AWS CLI)** Verwenden Sie den Befehl [update-certificate-authority](https://docs.aws.amazon.com/cli/latest/reference/acm-pca/update-certificate-authority.html). Dies ist nützlich, wenn Sie eine bestehende CA mit Status haben `DISABLED` die Sie auf setzen möchten `ACTIVE`. Bestätigen Sie zunächst den Anfangsstatus der CA mit dem folgenden Befehl. ``` $ aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:{{aws}}:acm-pca:{{us-east-1}}:{{111122223333}}:certificate-authority/{{11223344-1234-1122-2233-112233445566}}" \ --output json ``` Dies führt zu einer Ausgabe, die der folgenden ähnelt. ``` { "CertificateAuthority": { "Arn": "arn:{{aws}}:acm-pca:{{us-east-1}}:{{111122223333}}:certificate-authority/{{11223344-1234-1122-2233-112233445566}}", "CreatedAt": "2021-03-05T14:24:12.867000-08:00", "LastStateChangeAt": "2021-03-08T13:17:40.221000-08:00", "Type": "ROOT", "Serial": "{{serial_number}}", "Status": "DISABLED", "NotBefore": "2021-03-08T07:46:27-08:00", "NotAfter": "2022-03-08T08:46:27-08:00", "CertificateAuthorityConfiguration": { "KeyAlgorithm": "RSA_2048", "SigningAlgorithm": "SHA256WITHRSA", "Subject": { "Country": "US", "Organization": "Example Corp", "OrganizationalUnit": "Sales", "State": "WA", "CommonName": "www.example.com", "Locality": "Seattle" } }, "RevocationConfiguration": { "CrlConfiguration": { "Enabled": true, "ExpirationInDays": 7, "CustomCname": "alternative.example.com", "S3BucketName": "{{amzn-s3-demo-bucket}}" }, "OcspConfiguration": { "Enabled": false } } } } ``` Der folgende Befehl setzt den Status der privaten CA auf `ACTIVE`. Dies ist nur möglich, wenn ein gültiges Zertifikat auf der CA installiert ist. ``` $ aws acm-pca update-certificate-authority \ --certificate-authority-arn arn:{{aws}}:acm-pca:{{us-east-1}}:{{111122223333}}:certificate-authority/{{11223344-1234-1122-2233-112233445566}} \ --status "ACTIVE" ``` Prüfen Sie den neuen Status der CA. ``` $ aws acm-pca describe-certificate-authority \ --certificate-authority-arn "arn:{{aws}}:acm-pca:{{us-east-1}}:{{111122223333}}:certificate-authority/{{11223344-1234-1122-2233-112233445566}}" \ --output json ``` Der Status wird jetzt angezeigt als `ACTIVE`. ``` { "CertificateAuthority": { "Arn": "arn:{{aws}}:acm-pca:{{us-east-1}}:{{111122223333}}:certificate-authority/{{11223344-1234-1122-2233-112233445566}}", "CreatedAt": "2021-03-05T14:24:12.867000-08:00", "LastStateChangeAt": "2021-03-08T13:23:09.352000-08:00", "Type": "ROOT", "Serial": "{{serial_number}}", "Status": "ACTIVE", "NotBefore": "2021-03-08T07:46:27-08:00", "NotAfter": "2022-03-08T08:46:27-08:00", "CertificateAuthorityConfiguration": { "KeyAlgorithm": "RSA_2048", "SigningAlgorithm": "SHA256WITHRSA", "Subject": { "Country": "US", "Organization": "Example Corp", "OrganizationalUnit": "Sales", "State": "WA", "CommonName": "www.example.com", "Locality": "Seattle" } }, "RevocationConfiguration": { "CrlConfiguration": { "Enabled": true, "ExpirationInDays": 7, "CustomCname": "alternative.example.com", "S3BucketName": "{{amzn-s3-demo-bucket}}" }, "OcspConfiguration": { "Enabled": false } } } } ``` In einigen Fällen haben Sie möglicherweise eine aktive CA, für die kein Sperrmechanismus konfiguriert ist. Wenn Sie mit der Verwendung einer Zertifikatssperrliste (CRL) beginnen möchten, gehen Sie wie folgt vor. **So fügen Sie einer vorhandenen CA eine CRL hinzu (AWS CLI)** 1. Verwenden Sie den folgenden Befehl, um den aktuellen Status der CA zu überprüfen. ``` $ aws acm-pca describe-certificate-authority --certificate-authority-arn arn:{{aws}}:acm-pca:{{us-east-1}}:{{111122223333}}:certificate-authority/{{11223344-1234-1122-2233-112233445566}} --output json ``` Die Ausgabe bestätigt, dass die CA den Status hat `ACTIVE` ist aber nicht für die Verwendung einer CRL konfiguriert. ``` { "CertificateAuthority": { "Arn": "arn:{{aws}}:acm-pca:{{us-east-1}}:{{111122223333}}:certificate-authority/{{11223344-1234-1122-2233-112233445566}}", "CreatedAt": "2021-03-08T14:36:26.449000-08:00", "LastStateChangeAt": "2021-03-08T14:50:52.224000-08:00", "Type": "ROOT", "Serial": "{{serial_number}}", "Status": "ACTIVE", "NotBefore": "2021-03-08T13:46:50-08:00", "NotAfter": "2022-03-08T14:46:50-08:00", "CertificateAuthorityConfiguration": { "KeyAlgorithm": "RSA_2048", "SigningAlgorithm": "SHA256WITHRSA", "Subject": { "Country": "US", "Organization": "Example Corp", "OrganizationalUnit": "Sales", "State": "WA", "CommonName": "www.example.com", "Locality": "Seattle" } }, "RevocationConfiguration": { "CrlConfiguration": { "Enabled": false }, "OcspConfiguration": { "Enabled": false } } } } ``` 1. Erstellen und speichern Sie eine Datei mit einem Namen wie `revoke_config.txt` um Ihre CRL-Konfigurationsparameter zu definieren. ``` { "CrlConfiguration":{ "Enabled": true, "ExpirationInDays": {{7}}, "S3BucketName": "{{amzn-s3-demo-bucket}}" } } ``` **Anmerkung** Wenn Sie eine Matter-Gerätebescheinigungszertifizierungsstelle aktualisieren, um CRLs zu aktivieren, müssen Sie sie so konfigurieren, dass die CDP-Erweiterung in den ausgestellten Zertifikaten weggelassen wird, um die Konformität mit dem aktuellen Matter-Standard zu gewährleisten. Definieren Sie dazu Ihre CRL-Konfigurationsparameter wie unten dargestellt: ``` { "CrlConfiguration":{ "Enabled": true, "ExpirationInDays": {{7}}, "S3BucketName": "{{amzn-s3-demo-bucket}}" "CrlDistributionPointExtensionConfiguration":{ "OmitExtension": true } } } ``` 1. Verwenden Sie das [Aktualisiere die Zertifizierungsstelle](https://docs.aws.amazon.com/cli/latest/reference/acm-pca/update-certificate-authority.html) Befehl und die Sperrkonfigurationsdatei zum Aktualisieren der CA. ``` $ aws acm-pca update-certificate-authority \ --certificate-authority-arn arn:{{aws}}:acm-pca:{{us-east-1}}:{{111122223333}}:certificate-authority/{{11223344-1234-1122-2233-112233445566}} \ --revocation-configuration file://{{revoke_config.txt}} ``` 1. Überprüfen Sie erneut den Status der CA. ``` $ aws acm-pca describe-certificate-authority --certificate-authority-arn arn:{{aws}}:acm-pca:{{us-east-1}}:{{111122223333}}:certificate-authority/{{11223344-1234-1122-2233-112233445566}} --output json ``` Die Ausgabe bestätigt, dass CA jetzt für die Verwendung einer CRL konfiguriert ist. ``` { "CertificateAuthority": { "Arn": "arn:{{aws}}:acm-pca:{{us-east-1}}:{{111122223333}}:certificate-authority/{{11223344-1234-1122-2233-112233445566}}", "CreatedAt": "2021-03-08T14:36:26.449000-08:00", "LastStateChangeAt": "2021-03-08T14:50:52.224000-08:00", "Type": "ROOT", "Serial": "{{serial_number}}", "Status": "ACTIVE", "NotBefore": "2021-03-08T13:46:50-08:00", "NotAfter": "2022-03-08T14:46:50-08:00", "CertificateAuthorityConfiguration": { "KeyAlgorithm": "RSA_2048", "SigningAlgorithm": "SHA256WITHRSA", "Subject": { "Country": "US", "Organization": "Example Corp", "OrganizationalUnit": "Sales", "State": "WA", "CommonName": "www.example.com", "Locality": "Seattle" } }, "RevocationConfiguration": { "CrlConfiguration": { "Enabled": true, "ExpirationInDays": 7, "S3BucketName": "{{amzn-s3-demo-bucket}}", }, "OcspConfiguration": { "Enabled": false } } } } ``` In einigen Fällen möchten Sie möglicherweise OCSP-Sperrunterstützung hinzufügen, anstatt wie im vorherigen Verfahren eine CRL zu aktivieren. Gehen Sie in diesem Fall wie folgt vor. **Um OCSP-Unterstützung zu einer vorhandenen CA hinzuzufügen (AWS CLI)** 1. Erstellen und speichern Sie eine Datei mit einem Namen wie `revoke_config.txt` um Ihre OCSP-Parameter zu definieren. ``` { "OcspConfiguration":{ "Enabled":true } } ``` 1. Verwenden Sie das [Aktualisiere die Zertifizierungsstelle](https://docs.aws.amazon.com/cli/latest/reference/acm-pca/update-certificate-authority.html) Befehl und die Sperrkonfigurationsdatei zum Aktualisieren der CA. ``` $ aws acm-pca update-certificate-authority \ --certificate-authority-arn arn:{{aws}}:acm-pca:{{us-east-1}}:{{111122223333}}:certificate-authority/{{11223344-1234-1122-2233-112233445566}} \ --revocation-configuration file://{{revoke_config.txt}} ``` 1. Überprüfen Sie erneut den Status der CA. ``` $ aws acm-pca describe-certificate-authority --certificate-authority-arnarn:{{aws}}:acm-pca:{{us-east-1}}:{{111122223333}}:certificate-authority/{{11223344-1234-1122-2233-112233445566}} --output json ``` Die Ausgabe bestätigt, dass CA jetzt für die Verwendung von OCSP konfiguriert ist. ``` { "CertificateAuthority": { "Arn": "arn:{{aws}}:acm-pca:{{us-east-1}}:{{111122223333}}:certificate-authority/{{11223344-1234-1122-2233-112233445566}}", "CreatedAt": "2021-03-08T14:36:26.449000-08:00", "LastStateChangeAt": "2021-03-08T14:50:52.224000-08:00", "Type": "ROOT", "Serial": "{{serial_number}}", "Status": "ACTIVE", "NotBefore": "2021-03-08T13:46:50-08:00", "NotAfter": "2022-03-08T14:46:50-08:00", "CertificateAuthorityConfiguration": { "KeyAlgorithm": "RSA_2048", "SigningAlgorithm": "SHA256WITHRSA", "Subject": { "Country": "US", "Organization": "Example Corp", "OrganizationalUnit": "Sales", "State": "WA", "CommonName": "www.example.com", "Locality": "Seattle" } }, "RevocationConfiguration": { "CrlConfiguration": { "Enabled": false }, "OcspConfiguration": { "Enabled": true } } } } ``` **Anmerkung** Sie können auch sowohl CRL- als auch OCSP-Unterstützung auf einer CA konfigurieren.