จัดการใบรับรองลายเซ็นสำหรับการยืนยันตัวตน
Certificates (ใบรับรอง) ในการจัดการอัตลักษณ์รวมใช้จัดการกุญแจลายเซ็นสำหรับการยืนยันตัวตน ผู้ให้บริการยืนยันตัวตนสามารถเลือกกุญแจที่ใช้ได้ การสร้างกุญแจ ตั้งค่าผู้ให้บริการ และตรวจสอบแอปเป็นคนละขั้นตอน การมีรายการในหน้าจอไม่ได้หมายความว่าแอปเชื่อมต่อการยืนยันตัวตนเสร็จแล้ว
ใบรับรองที่ดาวน์โหลดเป็นใบรับรองลงนามด้วยตนเอง ไม่ควรถือว่าออกโดยหน่วยงานที่เชื่อถือได้สาธารณะ และไม่ใช่ใบรับรองเซิร์ฟเวอร์ HTTPS ของเว็บไซต์ ผู้รับผิดชอบแอปต้องยืนยันวิธีสร้างความเชื่อถือและตรวจสอบผลการยืนยันตัวตนตามการเชื่อมต่อจริง
ชื่อปุ่มและช่องต่อไปนี้ใช้ป้ายภาษาอังกฤษที่ตรวจสอบแล้วพร้อมคำอธิบายภาษาไทย
การเตรียมการ
- ตรวจสอบว่าผู้ดูแลมีสิทธิ์ดูและจัดการการตั้งค่าอัตลักษณ์รวม การสร้างและการลบอาจใช้สิทธิ์ต่างกัน
- กำหนดวัตถุประสงค์ ความเข้ากันได้ของอัลกอริทึม ระยะเวลาที่มีผล และผู้ให้บริการกับแอปที่พึ่งพากุญแจ เตรียมบัญชีทดสอบแบบควบคุม ช่วงเวลาเปลี่ยนแปลง และแผนกู้คืน
- กุญแจส่วนตัวเป็นข้อมูลรับรองที่อ่อนไหวสูง ดาวน์โหลดเฉพาะเมื่อจำเป็นและได้รับอนุญาต จัดเก็บ ส่ง และลบสำเนาตามวิธีปลอดภัยที่องค์กรอนุมัติ ห้ามวางในทิกเก็ต แชต หรือเอกสารสาธารณะ
สร้างและเลือกกุญแจลายเซ็น
- IAM > Authentication Configuration > Certificates: ในการตั้งค่าการยืนยันตัวตนของระบบอัตลักษณ์รวม เปิด Certificates และเลือก Create (สร้าง)
- ระบุชื่อและ Validity Days (จำนวนวันที่มีผล) แล้วเลือก Key Type (ชนิดกุญแจ) มี RSA และ ECDSA ให้เลือก โดยตรวจสอบการรองรับของแอปก่อน
- หากต้องการกำหนดวันหมดอายุของกุญแจอย่างชัดเจน ให้ป้อนจำนวนวันเป็นจำนวนเต็มบวกแล้วบันทึก ค่า
0ไม่กำหนดวันหมดอายุที่ชัดเจนของกุญแจ แม้กุญแจไม่มีวันหมดอายุ ใบรับรองที่ดาวน์โหลดยังมีช่วงเวลาที่มีผลของตนเอง ให้ตรวจสอบใบรับรองจริง - กลับไปตรวจสอบชื่อ ชนิด และวันหมดอายุในรายการ การกลับสู่รายการเพียงอย่างเดียวไม่ยืนยันว่าการสร้างสำเร็จ หากไม่พบรายการหรือคำขอผิดปกติให้ติดต่อผู้ดูแล
- เปิดผู้ให้บริการยืนยันตัวตนที่ต้องใช้กุญแจ ใน Protocol Settings (ตั้งค่าโปรโตคอล) เลือก Signing Key (กุญแจลายเซ็น) ตรวจสอบค่าการเชื่อมต่ออื่นแล้วบันทึก รายการเลือกมีเฉพาะกุญแจที่ใช้ได้และยังไม่หมดอายุ หากไม่พบกุญแจใหม่ให้เปิดการตั้งค่าอีกครั้งและตรวจสอบสถานะกับวันหมดอายุ
- ตั้งค่าความเชื่อถือฝั่งแอปตามข้อกำหนดของผู้รับผิดชอบ แล้วใช้บัญชีนำร่องทดสอบการเข้าสู่ระบบและผลการยืนยันตัวตนแบบควบคุม ตรวจสอบผู้ให้บริการ สิทธิ์เข้าถึงแอป และการตั้งค่าของแอปแยกกัน การบันทึกสำเร็จไม่ยืนยันว่าการยืนยันตัวตนใช้งานได้
ดูและดาวน์โหลด
- ค้นหารายการในหน้าใบรับรองและขยายแถวเพื่อดูชื่อเจ้าของใบรับรองและลายนิ้วมือ
- เลือก Download Certificate (ดาวน์โหลดใบรับรอง) หรือ Download Key (ดาวน์โหลดกุญแจ) ตามความจำเป็น ตัวเลือกแรกส่งออกใบรับรอง ตัวเลือกหลังส่งออกกุญแจส่วนตัวซึ่งต้องจัดการเข้มงวดกว่า ก่อนส่งมอบให้ตรวจสอบผู้รับ วัตถุประสงค์ และความสมบูรณ์ของไฟล์
- หน้ารายละเอียดและการดาวน์โหลดสร้างใบรับรองแยกกัน ลายนิ้วมือบนหน้าจออาจต่างจากไฟล์ที่ดาวน์โหลดภายหลัง ให้ตรวจสอบไฟล์ที่ส่งมอบจริงแทนการใช้ลายนิ้วมือที่เห็นก่อนหน้า
ไฟล์กุญแจส่วนตัวที่ดาวน์โหลดไม่ได้เข้ารหัสในตัว อย่าถือว่าการเปิดไฟล์ต้องใช้รหัสผ่าน ก่อนดาวน์โหลดให้ยืนยันตำแหน่งจัดเก็บที่ควบคุมได้และผู้รับ จำกัดการเข้าถึงไฟล์และสำเนา ส่งผ่านวิธีปลอดภัยที่องค์กรอนุมัติ และลบตามข้อกำหนดเมื่อไม่จำเป็นต้องใช้อีก
เปลี่ยนและลบ
- แก้ไขชื่อ: การแก้ไขเปลี่ยนเฉพาะชื่อ ไม่สร้างกุญแจใหม่หรือทำให้การหมุนเวียนกุญแจเสร็จสิ้น ตรวจสอบรายการหลังบันทึก
- เปลี่ยนกุญแจ: สร้างกุญแจใหม่และตรวจสอบความเข้ากันได้ของแอป จากนั้นเปลี่ยนกุญแจที่ผู้ให้บริการเลือกและความเชื่อถือฝั่งแอปภายใต้การควบคุม แล้วตรวจสอบการเข้าสู่ระบบและผลการยืนยันตัวตน กำหนดเวลาจัดเก็บและลบกุญแจเก่าตามความจำเป็นในการตรวจสอบผลเดิมและข้อกำหนดองค์กร
- ลบกุญแจ: ตรวจสอบก่อนว่าไม่มีผู้ให้บริการหรือแอปพึ่งพากุญแจแล้ว และดำเนินการย้ายพร้อมตรวจสอบให้เสร็จ การลบอาจทำให้การออกหรือการตรวจสอบผลยืนยันตัวตนล้มเหลว อย่าสมมติว่าจะสลับอัตโนมัติหรือกู้คืนกุญแจได้
ความเข้ากันได้ของอัลกอริทึม: RSA บนหน้าตรงกับ RS256 และ ECDSA ตรงกับ ES256 แอปควรตรวจอัลกอริทึมลายเซ็นและกุญแจสาธารณะตามการเชื่อมต่อจริง ข้อมูลค้นพบการยืนยันตัวตนปัจจุบันประกาศ RS256 การเลือก ECDSA ได้บนหน้าไม่ได้หมายความว่าแอปจะยอมรับ ES256 ผ่านข้อมูลค้นพบโดยอัตโนมัติ หากต้องใช้ ECDSA ให้ตรวจการออกและตรวจสอบจริงกับผู้รับผิดชอบแอปก่อน หากยังไม่แน่ใจให้ประเมินว่าแอปใช้ RSA ได้หรือไม่
ตรวจการยืนยันตัวตนเดิมเมื่อหมุนเวียนกุญแจ: เมื่อผู้ให้บริการเปลี่ยนไปเลือกกุญแจใหม่ กุญแจสาธารณะที่เผยแพร่ให้แอปจะเปลี่ยนตาม แม้กุญแจเดิมยังอยู่ในรายการใบรับรอง อย่าถือว่าผู้ให้บริการยังเผยแพร่กุญแจสาธารณะเดิมพร้อมกัน แอปที่ต้องใช้กุญแจเดิมตรวจผลการยืนยันตัวตนที่ยังไม่หมดอายุอาจได้รับผลกระทบ ก่อนเปลี่ยนให้ยืนยันอายุผลเดิม วิธีที่แอปรับและแคชกุญแจสาธารณะ และแผนเปลี่ยนผ่านกับผู้รับผิดชอบแอป หลังเปลี่ยนให้ทดสอบทั้งการยืนยันตัวตนใหม่และผลเดิมที่ยังใช้ได้ การเก็บกุญแจเดิมหรือเข้าสู่ระบบใหม่สำเร็จเพียงอย่างเดียวไม่ยืนยันว่าหมุนเวียนเสร็จ
การแก้ไขปัญหา
- สร้างไม่ได้หรือไม่พบรายการ: ตรวจสอบชื่อ จำนวนวัน ชนิดกุญแจ และสิทธิ์ ตรวจรายการซ้ำและปฏิบัติตามคำแนะนำบนหน้าจอ
- เลือกกุญแจในผู้ให้บริการไม่ได้: ตรวจสอบสถานะ วันหมดอายุ และการตั้งค่าผู้ให้บริการ เปิดการตั้งค่าใหม่หรือติดต่อผู้ดูแลหากจำเป็น
- แก้ไขแล้วกุญแจไม่เปลี่ยน: การแก้ไขเปลี่ยนเฉพาะชื่อ การเปลี่ยนกุญแจต้องสร้างใหม่ ปรับผู้ให้บริการ และตรวจสอบแอป
- การยืนยันตัวตนหรือลายเซ็นล้มเหลว: ตรวจสอบกุญแจที่เลือก อายุ ความเชื่อถือฝั่งแอป สิทธิ์เข้าถึง และการเชื่อมต่อจริง
- ลายนิ้วมือในรายละเอียดกับไฟล์ต่างกัน: ตรวจสอบไฟล์ที่ส่งมอบจริง ไม่ใช้หน้ารายละเอียดแทนการตรวจสอบไฟล์
วันที่อัปเดต