Fazer a rotação de um certificado do IAM Identity Center

A rotação de um certificado do IAM Identity Center é um processo de várias etapas que envolve o seguinte:

• Gerar um novo certificado

• Adicionar o novo certificado ao site do provedor de serviços

• Configurar o novo certificado como ativo

• Excluir o certificado inativo

Use todos os procedimentos a seguir na seguinte ordem para concluir o processo de rotação de certificados para um determinada aplicação.

Etapa 1: gerar um novo certificado

Os novos certificados do IAM Identity Center que você gera podem ser configurados para usar as seguintes propriedades:

• Período de validade: especifica o tempo alocado (em meses) antes que um novo certificado do IAM Identity Center expire.

• Tamanho da chave: determina o número de bits que uma chave deve usar com seu algoritmo criptográfico. Você pode definir esse valor como RSA de 1024 bits ou RSA de 2048 bits. Para obter informações gerais sobre como os tamanhos das chaves funcionam na criptografia, consulte Tamanho da chave.

• Algoritmo: especifica o algoritmo que o IAM Identity Center usa ao assinar a asserção/resposta do SAML. Você pode definir esse valor como SHA-1 ou SHA-256. AWS recomenda usar SHA-256 quando possível, a menos que seu provedor de serviços exija SHA-1. Para obter informações gerais sobre como os algoritmos de criptografia funcionam, consulte Criptografia de chave pública.

1. Abra o console do IAM Identity Center.

2. Selecione Aplicações.

3. Na lista de aplicações, escolha a aplicação para o qual deseja gerar um novo certificado.

4. Na página de detalhes da aplicação, selecione a guia Configuração. Em Metadados do IAM Identity Center, escolha Gerenciar certificado. Se você não tiver uma guia Configuração ou se a configuração não estiver disponível, não será necessário fazer o rodízio de certificados para essa aplicação.

5. Na página Certificado do IAM Identity Center, escolha Gerar novo certificado.

6. Na caixa de diálogo Gerar novo certificado do IAM Identity Center, especifique os valores apropriados para Período de validade, Algoritmo e Tamanho da chave. Em seguida, escolha Gerar.

Etapa 2: atualizar o site do provedor de serviços

Use o procedimento a seguir para restabelecer a confiança com o provedor de serviços da aplicação.

Importante

Quando você carrega o novo certificado para o provedor de serviços, talvez seus usuários não consigam se autenticar. Para corrigir essa situação, defina o novo certificado como ativo conforme descrito na próxima etapa.

1. No console do IAM Identity Center, escolha a aplicação para o qual você acabou de gerar um novo certificado.

2. Na página de detalhes da aplicação, escolha Editar configuração.

3. Escolha Ver instruções e siga as instruções do site do seu provedor de serviços de aplicações específico para adicionar o certificado recém-gerado.

Etapa 3: definir o novo certificado como ativo

Uma aplicação pode ter até dois certificados atribuídos a ela. O IAM Identity Center usará a certificação que está definida como ativa para assinar todas as asserções SAML.

1. Abra o console do IAM Identity Center.

2. Selecione Aplicações.

3. Na lista de aplicações, escolha sua aplicação.

4. Na página de detalhes da aplicação, selecione a guia Configuração. Em Metadados do IAM Identity Center, escolha Gerenciar certificado.

5. Na página do certificado do IAM Identity Center, selecione o certificado que você deseja definir como ativo, escolha Ações e, em seguida, escolha Definir como ativo.

6. Na caixa de diálogo Definir o certificado selecionado como ativo, confirme que você entende que definir um certificado como ativo pode exigir que você restabeleça a confiança e escolha Tornar ativo.

Etapa 4: Excluir o certificado antigo

Use o procedimento a seguir para concluir o processo de rotação do certificado para sua inscrição. Você só pode excluir um certificado que esteja em um estado inativo.

1. Abra o console do IAM Identity Center.

2. Selecione Aplicações.

3. Na lista de aplicações, escolha sua aplicação.

4. Na página de detalhes da aplicação, selecione a aba Configuração. Em Metadados do IAM Identity Center, escolha Gerenciar certificado.

5. Na página do certificado do IAM Identity Center, selecione o certificado que deseja excluir. Escolha Ações e, em seguida, escolha Excluir.

6. Na caixa de diálogo Excluir certificado, escolha Excluir.