Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Mettre à jour votre CA privée
Vous pouvez mettre à jour le statut d'une autorité de certification privée ou modifier sa configuration de révocation après l'avoir créée. Cette rubrique fournit des détails sur le statut de l'autorité de certification et le cycle de vie de l'autorité de certification, ainsi que des exemples de console et de CLI mises à jour deCAs.
Mettre à jour le statut de CA
Le statut d'une autorité de certification gérée par Autorité de certification privée AWS résulte d'une action de l'utilisateur ou, dans certains cas, d'une action de service. Par exemple, le statut d'une autorité de certification change lorsqu'il expire. Les options d'état disponibles pour les administrateurs de l'autorité de certification varient en fonction de l'état actuel de l'autorité de certification.
Autorité de certification privée AWS peut signaler les valeurs d'état suivantes. Le tableau indique les fonctionnalités de l'autorité de certification disponibles dans chaque État.
Note
Pour toutes les valeurs de statut, à l'exception de DELETED
etFAILED
, l'autorité de certification vous est facturée.
Statut | Émettre des certificats | Validez les certificats avec OCSP | Générer CRLs | Générez des audits | Vous pouvez mettre à jour le certificat CA | Les certificats peuvent être révoqués | Vous êtes facturé pour le CA |
---|---|---|---|---|---|---|---|
CREATING — Le CA est en cours de création. |
Non | Non | Non | Non | Non | Non | Oui |
|
Non | Non | Non | Non | Non | Non | Oui |
ACTIVE |
Oui | Oui | Oui | Oui | Oui | Oui | Oui |
DISABLED — Vous avez désactivé manuellement l'autorité de certification. |
Non | Oui | Oui | Oui | Non | Oui | Oui |
EXPIRED — Le certificat CA a expiré. ** |
Non | Non | Non | Non | Oui | Non | Oui |
FAILED |
L'CreateCertificateAuthority action a échoué. Cela peut être dû à une panne réseau, à une AWS défaillance du backend ou à d'autres erreurs. Une autorité de certification défaillante ne peut pas être récupérée. Supprimez l'autorité de certification et créez-en une nouvelle. |
Non | |||||
DELETED |
Votre CA est en période de restauration, qui peut durer de 7 à 30 jours. Après cette période, elle est définitivement supprimé.
|
Non |
* Pour terminer l'activation, vous devez générer un certificat CACSR, obtenir un certificat d'autorité de certification signé auprès d'une autorité de certification et importer le certificat dans Autorité de certification privée AWS. Ils CSR peuvent être soumis soit à votre nouvelle autorité de certification (pour l'auto-signature), soit à une autorité de certification racine ou subordonnée sur site. Pour de plus amples informations, veuillez consulter Création et installation du certificat CA.
** Vous ne pouvez pas modifier directement le statut d'une autorité de certification expirée. Si vous importez un nouveau certificat pour l'autorité de certification, le statut Autorité de certification privée AWS est rétabli à ACTIVE
moins qu'il n'ait été défini DISABLED
avant l'expiration du certificat.
Considérations supplémentaires concernant les certificats CA expirés :
-
Les certificats CA ne sont pas renouvelés automatiquement. Pour plus d'informations sur l'automatisation du renouvellement AWS Certificate Manager, consultezAttribuez des autorisations de renouvellement de certificat à ACM.
-
Si vous tentez d'émettre un nouveau certificat avec une autorité de certification expirée, les
IssueCertificate
API retours sont renvoyésInvalidStateException
. Une autorité de certification racine expirée doit auto-signer un nouveau certificat d'une autorité de certification racine avant de pouvoir émettre de nouveaux certificats subordonnés. -
The ListCertificateAuthorities
etDescribeCertificateAuthority
APIs renvoient un statut indiquantEXPIRED
si le certificat de l'autorité de certification est expiré, que le statut de l'autorité de certification soit défini surACTIVE
ouDISABLED
. Toutefois, si l'autorité de certification expirée a été définie surDELETED
, l'état renvoyé estDELETED
. -
UpdateCertificateAuthority
APIImpossible de mettre à jour le statut d'une autorité de certification expirée. -
Le
RevokeCertificate
API ne peut pas être utilisé pour révoquer un certificat expiré, y compris un certificat CA.
État et cycle de vie de l'autorité de certification
Le diagramme suivant illustre le cycle de vie de l'autorité de certification en tant qu'interaction des actions de gestion avec l'état de l'autorité de certification.
![Interaction des actions et des états de gestion de l'autorité de certification.](images/status.png)
![]() Action de gestion |
![]() |
![]() L'action entraîne un changement d'état |
![]() Le nouvel état permet une nouvelle action |
En haut du diagramme, les actions de gestion sont appliquées via la Autorité de certification privée AWS consoleCLI, ouAPI. Les actions font transiter l'autorité de certification via la création, l'activation, l'expiration et le renouvellement. L'état de l'autorité de certification change en réponse (comme indiqué par les lignes pleines) à des actions manuelles ou à des mises à jour automatisées. Dans la plupart des cas, un nouvel état entraîne une nouvelle action possible (représentée par une ligne pointillée) que l'administrateur de l'autorité de certification peut appliquer. L'encadré en bas à droite illustre les valeurs d'état possibles permettant les actions de suppression et de restauration.