Quản lý chứng chỉ ký xác thực

Certificates (chứng chỉ) trong quản lý danh tính hợp nhất dùng để quản lý khóa ký xác thực. Nhà cung cấp xác thực có thể chọn khóa ký khả dụng. Tạo khóa, cấu hình nhà cung cấp và kiểm tra ứng dụng là các bước riêng; một mục trong danh sách không chứng minh tích hợp ứng dụng đã hoàn tất.

Chứng chỉ tải xuống là chứng chỉ tự ký, không được coi là do tổ chức công cộng đáng tin cậy cấp và không đồng nhất với chứng chỉ máy chủ HTTPS của trang web. Người phụ trách ứng dụng cần xác nhận cách ứng dụng tin cậy và kiểm tra kết quả xác thực theo tích hợp thực tế.

Các nhãn tiếng Anh dưới đây là tên giao diện đã đối chiếu, kèm giải thích tiếng Việt.

Chuẩn bị

• Xác nhận quản trị viên có quyền xem và quản lý cấu hình danh tính. Tạo và xóa có thể cần các quyền khác nhau.
• Xác định mục đích khóa, tính tương thích thuật toán, thời hạn và các nhà cung cấp, ứng dụng phụ thuộc. Chuẩn bị tài khoản thử có kiểm soát, thời gian thay đổi và phương án khôi phục.
• Khóa riêng là thông tin xác thực rất nhạy cảm. Chỉ tải khi cần và được phép; lưu, truyền và xóa bản sao theo quy trình an toàn được tổ chức phê duyệt. Không dán khóa vào phiếu hỗ trợ, tin nhắn hoặc tài liệu công khai.

Tạo và chọn khóa ký

1. IAM > Authentication Configuration > Certificates: Trong cấu hình xác thực của quản lý danh tính hợp nhất, mở Certificates và chọn Create (tạo).
2. Nhập tên và Validity Days (số ngày hiệu lực), chọn Key Type (loại khóa). Trang cung cấp RSA và ECDSA; kiểm tra trước thuật toán ứng dụng tích hợp hỗ trợ.
3. Nếu cần thời điểm hết hạn khóa rõ ràng, nhập số nguyên dương ngày hiệu lực rồi lưu. Giá trị 0 không đặt thời điểm hết hạn rõ ràng cho khóa. Ngay cả khi khóa không có thời điểm hết hạn, chứng chỉ tải xuống vẫn có thời hạn riêng; hãy kiểm tra chứng chỉ thực tế.
4. Kiểm tra tên, loại và thông tin hết hạn trong danh sách. Chỉ trở lại danh sách không đủ chứng minh tạo thành công; nếu thiếu mục hoặc yêu cầu bất thường, liên hệ quản trị viên.
5. Mở nhà cung cấp xác thực cần dùng khóa. Trong Protocol Settings (cài đặt giao thức), chọn Signing Key (khóa ký), kiểm tra các tham số tích hợp khác và lưu. Danh sách chỉ có khóa hiện khả dụng và chưa hết hạn. Nếu thiếu khóa mới, mở lại cấu hình và kiểm tra trạng thái, thời hạn.
6. Cấu hình sự tin cậy phía ứng dụng theo yêu cầu của người phụ trách. Dùng tài khoản thử nghiệm kiểm tra có kiểm soát việc đăng nhập và kết quả xác thực. Kiểm tra riêng nhà cung cấp, quyền truy cập và cấu hình ứng dụng; lưu thành công không chứng minh xác thực hoạt động.

Xem và tải xuống

1. Tìm mục trong danh sách chứng chỉ và mở rộng dòng để xem chủ thể và dấu vân tay chứng chỉ.
2. Chọn Download Certificate (tải chứng chỉ) hoặc Download Key (tải khóa) khi cần. Mục đầu xuất chứng chỉ, mục sau xuất khóa riêng và cần quản lý thông tin xác thực nghiêm ngặt hơn. Trước khi bàn giao, kiểm tra người nhận, mục đích và tính toàn vẹn tệp.
3. Trang chi tiết và lần tải xuống tạo chứng chỉ riêng, nên dấu vân tay trên trang có thể khác tệp tải sau đó. Khi xác minh, kiểm tra tệp thực tế được bàn giao thay vì dùng dấu vân tay đã hiển thị trước đó.

Bản thân tệp khóa riêng tải xuống không được mã hóa; không nên mặc định rằng cần mật khẩu để mở tệp. Trước khi tải, xác nhận vị trí lưu trữ được kiểm soát và người nhận. Hạn chế quyền truy cập tệp và các bản sao, truyền bằng phương thức an toàn được tổ chức phê duyệt và xử lý theo quy định khi không còn cần thiết.

Thay thế và xóa

• Sửa tên: Thao tác sửa chỉ đổi tên, không tạo khóa mới hoặc hoàn tất luân chuyển. Kiểm tra danh sách sau khi lưu.
• Thay khóa: Tạo khóa mới và kiểm tra tương thích ứng dụng. Trong thay đổi có kiểm soát, điều chỉnh lựa chọn của nhà cung cấp và sự tin cậy phía ứng dụng, rồi xác minh đăng nhập và kết quả xác thực thực tế. Quyết định thời gian giữ và xóa khóa cũ theo nhu cầu kiểm tra các kết quả hiện có và quy định tổ chức.
• Xóa khóa: Trước tiên xác nhận không còn nhà cung cấp hoặc ứng dụng phụ thuộc và hoàn tất chuyển đổi, kiểm tra. Xóa có thể khiến việc phát hành hoặc xác minh xác thực thất bại; không giả định tự chuyển khóa hay khôi phục được khóa.

Khả năng tương thích thuật toán: RSA trên trang tương ứng với RS256, còn ECDSA tương ứng với ES256. Ứng dụng cần kiểm tra thuật toán chữ ký và khóa công khai theo cấu hình tích hợp thực tế. Thông tin khám phá xác thực hiện công bố RS256; việc trang cho chọn ECDSA không có nghĩa ứng dụng sẽ tự động chấp nhận ES256 qua thông tin khám phá. Nếu cần ECDSA, hãy kiểm tra việc phát hành và xác minh thực tế với người phụ trách ứng dụng trước; nếu chưa chắc chắn, hãy đánh giá khả năng dùng RSA.

Kiểm tra xác thực hiện có khi luân chuyển: Khi nhà cung cấp chuyển sang khóa mới, khóa công khai được công bố cho ứng dụng cũng thay đổi. Dù khóa cũ còn trong danh sách chứng chỉ, không được giả định nhà cung cấp vẫn đồng thời cung cấp khóa công khai cũ. Các ứng dụng cần khóa cũ để xác minh kết quả xác thực chưa hết hạn có thể bị ảnh hưởng. Trước khi thay đổi, hãy xác nhận với người phụ trách ứng dụng thời hạn của kết quả hiện có, cách ứng dụng lấy và lưu đệm khóa công khai, cùng phương án chuyển tiếp khả thi. Sau đó kiểm tra riêng xác thực mới và kết quả cũ còn hiệu lực. Chỉ giữ khóa cũ hoặc đăng nhập mới thành công không chứng minh việc luân chuyển đã hoàn tất.

Khắc phục sự cố

• Không tạo được hoặc thiếu mục: Kiểm tra tên, số ngày, loại khóa, quyền; kiểm tra lại danh sách và hướng dẫn trên trang.
• Không chọn được khóa ở nhà cung cấp: Kiểm tra tính khả dụng, thời hạn và cấu hình nhà cung cấp; mở lại cấu hình hoặc liên hệ quản trị viên nếu cần.
• Khóa không đổi sau khi sửa: Sửa chỉ đổi tên; thay khóa cần tạo mới, đổi nhà cung cấp và kiểm tra ứng dụng.
• Xác thực hoặc kiểm tra chữ ký thất bại: Kiểm tra lựa chọn nhà cung cấp, thời hạn khóa, sự tin cậy phía ứng dụng, quyền truy cập và tích hợp thực tế.
• Dấu vân tay chi tiết khác tệp tải xuống: Kiểm tra tệp thực tế bàn giao, không dùng trang chi tiết thay cho việc xác minh tệp.