Conformité à la RFC

Autorité de certification privée AWS n'applique pas certaines contraintes définies dans la RFC 5280. La situation inverse est également vraie : certaines contraintes supplémentaires appropriées à une autorité de certification privée sont appliquées.

Appliqué

• Pas après la date. Conformément à la RFC 5280, Autorité de certification privée AWS empêche l'émission de certificats ayant une date Not After postérieure à la date Not After du certificat d'une autorité de certification émettrice.

• Contraintes de base. Autorité de certification privée AWS applique les contraintes de base et la longueur du chemin dans les certificats CA importés.

  Les contraintes basiques indiquent si la ressource identifiée par le certificat est une autorité de certification ou non et peut émettre des certificats. Les certificats d'une autorité de certification importés dans Autorité de certification privée AWS doivent inclure l'extension des contraintes basiques et l'extension doit être marquée critical. En plus du critical drapeau, CA=true il doit être installé. Autorité de certification privée AWS applique les contraintes de base en échouant avec une exception de validation pour les raisons suivantes :

  • L'extension n'est pas incluse dans le certificat d'une autorité de certification.

  • L'extension n'est pas marquée critical.

  La longueur du chemin (pathLenConstraint) détermine le nombre de CA subordonnées qui peuvent exister en aval du certificat de CA importé. Autorité de certification privée AWS applique la longueur du chemin en échouant avec une exception de validation pour les raisons suivantes :

  • L'importation d'un certificat d'une autorité de certification violerait la contrainte de longueur du chemin d'accès dans le certificat d'une autorité de certification ou dans tout certificat d'une autorité de certification de la chaîne.

  • L'émission d'un certificat violerait une contrainte de longueur de chemin d'accès.

• Les contraintes de nom indiquent un espace de nom dans lequel doivent figurer tous les noms de sujets figurant dans les certificats suivants d'un chemin de certification. Des restrictions s'appliquent au nom distinctif du sujet et aux noms alternatifs du sujet.

Non appliqué

• Politiques relatives aux certificats. Les politiques de certification régissent les conditions dans lesquelles une autorité de certification émet des certificats.

• Empêchez AnyPolicy. Utilisé dans les certificats délivrés aux autorités de certification.

• Nom alternatif de l'émetteur. Permet d'associer des identités supplémentaires à l'émetteur du certificat CA.

• Contraintes politiques. Ces contraintes limitent la capacité d'une autorité de certification à émettre des certificats d'une autorité de certification subordonnée.

• Mappages de politiques. Utilisé dans les certificats CA. Répertorie une ou plusieurs paires d'OID ; chaque paire inclut un issuerDomainPolicy et unsubjectDomainPolicy.

• Attributs du répertoire des sujets. Utilisé pour transmettre les attributs d'identification du sujet.

• Accès aux informations sur le sujet. Comment accéder aux informations et aux services relatifs au sujet du certificat dans lequel apparaît l'extension.

• Identifiant de clé d'objet (SKI) et Identifiant de clé d'autorité (AKI). La RFC exige un certificat d'une autorité de certification pour contenir l'extension SKI. Les certificats émis par l'autorité de certification doivent contenir une extension AKI correspondant au SKI du certificat de l'autorité de certification. AWS ne fait pas appliquer ces exigences. Si votre certificat d'une autorité de certification ne contient pas de SKI, l'entité finale ou le certificat d'une autorité de certification subordonnée AKI sera à la place le hachage SHA-1 de la clé publique de l'auteur.

• SubjectPublicKeyInfoet nom alternatif du sujet (SAN). Lors de l'émission d'un certificat, Autorité de certification privée AWS copie les extensions SAN SubjectPublicKeyInfo et à partir du CSR fourni sans effectuer de validation.