Configurar um URL personalizado para OCSP da CA privada da AWS

nota

Esse tópico destina-se a clientes que desejam personalizar a URL pública do endpoint do agente de resposta OCSP para fins de identidade visual ou outros fins. Se você planeja usar a configuração padrão do OCSP CA privada da AWS gerenciado, pode ignorar este tópico e seguir as instruções de configuração em Configurar revogação.

Por padrão, quando você habilita o OCSP para CA privada da AWS, cada certificado emitido contém a URL do respondente AWS OCSP. Isso permite que os clientes que solicitam uma conexão criptograficamente segura enviem consultas de validação OCSP diretamente à AWS. Porém, em alguns casos, pode ser preferível indicar uma URL diferente em seus certificados e, ao mesmo tempo, enviar consultas OCSP à AWS.

nota

Para obter informações sobre como usar uma lista de revogação de certificados (CRL) como alternativa ou suplemento ao OCSP, consulte Configurar a revogação e Planejar uma lista de revogação de certificados (CRL).

Três elementos estão envolvidos na configuração de um URL personalizado para o OCSP.

• Configuração da CA: especifique um URL OCSP personalizado no RevocationConfiguration para sua CA, conforme descrito no Exemplo 2: criar uma CA com o OCSP e um CNAME personalizado habilitado em Procedimento para criar uma CA (CLI) .

• DNS: adicione um registro CNAME à configuração do domínio para mapear o URL que aparece nos certificados para o URL de um servidor proxy. Para obter mais informações, consulte Exemplo 2: criar uma CA com o OCSP e um CNAME personalizado habilitado em Procedimento para criar uma CA (CLI) .

• Servidor proxy de encaminhamento: configure um servidor proxy que possa encaminhar de maneira transparente o tráfego OCSP recebido ao agente de resposta OCSP da AWS .

O diagrama a seguir ilustra como esses elementos funcionam em conjunto.

Conforme mostrado no diagrama, o processo de validação personalizado do OCSP envolve as etapas a seguir:

1. O cliente consulta o DNS para o domínio de destino.

2. O cliente recebe o IP de destino.

3. O cliente abre uma conexão TCP com o destino.

4. O cliente recebe o certificado TLS de destino.

5. O cliente consulta o DNS para o domínio OCSP listado no certificado.

6. O cliente recebe o IP do proxy.

7. O cliente envia a consulta OCSP para o proxy.

8. O proxy encaminha a consulta ao agente de resposta OCSP.

9. O agente de resposta retorna o status do certificado para o proxy.

10. O proxy encaminha o status do certificado ao cliente.

11. Se o certificado for válido, o cliente iniciará o handshake de TLS.

dica

Esse exemplo pode ser implementado usando a Amazon CloudFront e o Amazon Route 53 depois de configurar uma CA conforme descrito acima.

1. Em CloudFront, crie uma distribuição e configure-a da seguinte forma:

   • Crie um nome alternativo que corresponda ao CNAME personalizado.

   • Vincule o certificado a ele.

   • Defina ocsp.acm-pca.<region>.amazonaws.com como origem..

   • Aplique a política Managed-CachingDisabled.

   • Defina Política de protocolo do visualizador para HTTP e HTTPS.

   • Defina Métodos HTTP permitidos como GET, HEAD, OPTIONS, PUT, POST, PATCH, DELETE.

2. No Route 53, crie um registro DNS que mapeie seu CNAME personalizado para a URL da CloudFront distribuição.