Conformidade com RFC

CA privada da AWS não impõe certas restrições definidas na RFC 5280. A situação inversa também é verdadeira: determinadas restrições adicionais apropriadas a uma CA privada são impostas.

Impostas

• Não depois da data. Em conformidade com a RFC 5280, o CA privada da AWS impede a emissão de certificados com uma Not After data posterior Not After à data do certificado da CA emissora.

• Restrições básicas. CA privada da AWS impõe restrições básicas e comprimento do caminho em certificados CA importados.

  As restrições básicas indicam se o recurso identificado pelo certificado é ou não uma CA e pode emitir certificados. Os certificados CA importados no CA privada da AWS devem incluir a extensão das restrições básicas e a extensão deve ser marcada como critical. Além da critical bandeira, CA=true deve ser definida. CA privada da AWS impõe restrições básicas ao falhar com uma exceção de validação pelos seguintes motivos:

  • A extensão não está incluída no certificado CA.

  • A extensão não está marcada como critical.

  O comprimento do caminho (pathLenConstraint) determina quantas CAs subordinadas podem existir a jusante do certificado de CA importado. CA privada da AWS impõe o comprimento do caminho ao falhar com uma exceção de validação pelos seguintes motivos:

  • Importar um certificado CA violaria a restrição de comprimento de caminho no certificado CA ou em qualquer certificado CA na cadeia.

  • A emissão de um certificado violaria uma restrição de comprimento de caminho.

• As restrições de nome indicam um espaço de nomes dentro do qual todos os nomes de assuntos nos certificados subsequentes em um caminho de certificação devem estar localizados. As restrições se aplicam ao nome distinto do sujeito e aos nomes alternativos do assunto.

Não impostas

• Políticas de certificação. As políticas de certificado regulam as condições sob as quais uma CA emite certificados.

• Iniba qualquer política. Usado em certificados emitidos para CAs.

• Nome alternativo do emissor. Permite que identidades adicionais sejam associadas ao emissor do certificado CA.

• Restrições políticas. Essas restrições limitam a capacidade de uma CA para emitir certificados CA subordinados.

• Mapeamentos de políticas. Usado em certificados CA. Lista um ou mais pares de OIDs; cada par inclui um issuerDomainPolicy e umsubjectDomainPolicy.

• Atributos do diretório de assuntos. Usado para transmitir atributos de identificação do sujeito.

• Acesso às informações do assunto. Como acessar informações e serviços sobre o assunto do certificado no qual a extensão aparece.

• Identificador de chave de assunto (SKI) e Identificador de chave de autoridade (AKI). A RFC requer um certificado CA para conter a extensão do SKI. Os certificados emitidos pela CA devem conter uma extensão AKI correspondente à SKI do certificado CA. AWS não impõe esses requisitos. Se o certificado CA não contiver um SKI, a entidade final emitida ou o AKI do certificado CA subordinado será o hash SHA-1 da chave pública do emissor.

• SubjectPublicKeyInfoe Nome alternativo do assunto (SAN). Ao emitir um certificado, CA privada da AWS copia as extensões SAN SubjectPublicKeyInfo e a CSR fornecida sem realizar a validação.