AWS Private CA теперь предоставляет подробные журналы выдачи сертификатов
AWS Private CA объявляет о подробных журналах выдачи сертификатов – новом событии сервиса AWS CloudTrail, в котором записывается полное содержимое сертификата, сведения о выдавшем его центре сертификации, идентификационные данные запрашивающей стороны и статус подписи при каждой выдаче. Эти события можно использовать для аудита соответствия требованиям, инвентаризации сертификатов, отслеживания миграции алгоритмов и мониторинга ошибок при выдаче. Ранее событие управления CloudTrail для API IssueCertificate подтверждало успешность вызова API, предоставляя ARN сертификата, но не записывало содержимое сертификата, информацию о подписавшем его центре сертификации или сведения о выдачах, завершившихся ошибкой до подписания.
Новое событие IssueCertificateDetails содержит полный сертификат, подлежащий подписанию (TBS), со всеми полями и расширениями X.509, а также дополнительные поля для субъекта, издателя, серийного номера, срока действия, шаблона и алгоритма подписи. События генерируются как при успешной, так и при неудачной выдаче, поэтому ошибки перед подписанием, такие как нарушение ограничений по именам, теперь приводят к записи с объяснением ошибки. Каждое событие идентифицирует запрашивающую сторону: аккаунт и доверитель IAM для прямых вызовов API или доверитель сервиса для сертификатов, выпущенных через коннекторы AWS Private CA или интегрированные сервисы AWS. В конфигурациях с несколькими аккаунтами событие доставляется в аккаунт владельца центра сертификации.
Событие автоматически доставляется как событие управления CloudTrail без необходимости настройки или согласия на использование и без дополнительной оплаты помимо стандартных тарифов AWS CloudTrail. Поскольку данные передаются через CloudTrail, с ними можно работать в режиме реального времени с помощью Amazon EventBridge или отправлять запросы в пакетном режиме с помощью Amazon Athena для аудита сертификатов, инвентаризации, отслеживания и мониторинга. Эта функция доступна во всех регионах AWS, в которых предлагается AWS Private CA. Дополнительные сведения см. в руководстве пользователя AWS Private CA.