AWS Private CA bietet jetzt detaillierte Protokolle zur Ausstellung von Zertifikaten
AWS Private CA kündigt detaillierte Protokolle zur Ausstellung von Zertifikaten an. Dabei handelt es sich um ein neues AWS CloudTrail-Serviceereignis, das den vollständigen Zertifikatsinhalt, die Informationen zur ausstellenden Zertifizierungsstelle, die Identität des Anforderers und den Signierstatus für jede Ausstellung aufzeichnet. Sie können diese Ereignisse zur Konformitätsprüfung, zur Zertifikatsinventur, zur Nachverfolgung der Algorithmusmigration und zur Überwachung fehlgeschlagener Ausstellung verwenden. Zuvor bestätigte das CloudTrail-Verwaltungsereignis für die IssueCertificate-API, dass der API-Aufruf erfolgreich war, indem ein Zertifikats-ARN bereitgestellt wurde. Es wurden jedoch weder der Zertifikatinhalt noch Informationen über die Zertifizierungsstelle, die es signiert hat, oder Ausstellungen, die vor dem Signieren fehlgeschlagen sind, erfasst.
Das neue IssueCertificateDetails-Ereignis erfasst das vollständige zu signierende (TBS-)Zertifikat mit allen X.509-Feldern und Erweiterungen sowie praktischen Feldern für den Betreff, den Aussteller, die Seriennummer, den Gültigkeitszeitraum, die Vorlage und den Signaturalgorithmus. Ereignisse werden sowohl für eine erfolgreiche als auch für eine fehlgeschlagene Ausstellung ausgegeben, sodass Fehler beim Vorsignieren, wie z. B. Verstöße gegen Namensbeschränkungen, jetzt zu einem Datensatz mit einer Fehlererklärung führen. Jedes Ereignis identifiziert den Anforderer: das Konto und den IAM-Prinzipal für direkte API-Aufrufer oder den Service-Prinzipal für Zertifikate, die über AWS Private CA-Konnektoren oder integrierte AWS-Services ausgestellt wurden. In kontoübergreifenden Konfigurationen wird das Ereignis an das CA-Besitzerkonto übermittelt.
Das Ereignis wird automatisch als CloudTrail-Management-Ereignis bereitgestellt, ohne dass eine Konfiguration oder Anmeldung erforderlich ist und ohne zusätzlichen Kosten, die über die Standardpreise von AWS CloudTrail hinausgehen. Da die Daten über CloudTrail übertragen werden, können Sie mit Amazon EventBridge in Echtzeit darauf reagieren oder sie stapelweise mit Amazon Athena zur Prüfung, Inventarisierung, Nachverfolgung und Überwachung von Zertifikaten abfragen. Dieses Feature ist in allen AWS-Regionen verfügbar, in denen AWS Private CA angeboten wird. Weitere Informationen finden Sie im Benutzerhandbuch für AWS Private CA.