导读

企业使用公钥基础设施（PKI）来颁发和管理用于识别企业资源和保护通信安全的私有证书。探索StubHub如何使用亚马逊云科技私有证书颁发机构构建企业级PKI，以支持其SPIFFE/SPIRE实施。了解如何构建一个基于云的PKI，该PKI可自动扩展以颁发和撤销大量证书，支持使用ADCS和SCEP进行自动注册，并在多个区域中实现高可用性和灾难恢复。发现如何在大规模颁发和管理证书的同时降低成本。

演讲精华

以下是小编为您整理的本次演讲的精华。

在创新与安全的领域中，亚马逊云科技已经成为值得信赖的引领者，提供了一套全面的服务来满足现代企业不断发展的需求。在这场技术革命的前沿，亚马逊云科技 re:Invent 2024大会汇聚了行业创新者，在这里揭示了云计算的未来。

Zack Miller，亚马逊云科技的首席解决方案架构师，首先介绍了亚马逊云科技提供的两项主要证书服务:Amazon Certificate Manager (ACM)和亚马逊云科技 Private CA。他解释说，ACM主要用于为集成的亚马逊云科技服务(如Application Load Balancer、API Gateway和CloudFront)颁发公共和私有TLS证书，有效期为13个月。该服务支持托管证书续订，免去了手动干预的麻烦，并确保与亚马逊云科技资源无缝集成。Zack分享了他作为系统管理员时的亲身经历，当时他不得不频繁登录Linux服务器并手动管理证书，这是一个“痛苦”且容易出错的过程。

相比之下，亚马逊云科技 Private CA是一项全面托管的证书颁发机构服务，使组织能够创建私有CA并颁发私有证书，无需管理硬件安全模块(HSM)或服务器的复杂性。该服务提供了无与伦比的灵活性，可以颁发适用于各种用例的私有证书，包括代码签名、电子邮件加密等，并且可以自定义从90天到数年的有效期。Zack强调了颁发私有TLS证书的能力，可以满足组织需要证书有效期长达3年或更长的使用场景。

在讨论证书吊销的细节时，Zack Miller阐明了亚马逊云科技用于确保颁发证书的完整性和可信度的机制。存储在Amazon S3中的证书吊销列表(CRL)是已吊销证书的静态列表，允许客户端下载并检查证书序列号是否存在，从而确定其吊销状态。或者，在线证书状态协议(OCSP)提供了一种更动态和实时的方法，使客户端能够查询由Amazon CloudFront前置的OCSP响应器，以获得更快的传递和缓存响应。Zack强调了结合使用CRL和OCSP的能力，客户端通常首先检查OCSP，如果OCSP响应器无法访问，则回退到CRL。

随后，StubHub的首席安全工程师Anthony Scheller上台分享了StubHub在云迁移过程中重建其基于亚马逊云科技的PKI的非凡历程。StubHub是一家知名的现场活动门票交易市场，在全球90多个国家运营，他们着手进行这一变革，目的是提高开发人员的生产力、成熟其整体安全态势，并完全迁移到亚马逊云科技云。

认识到现有PKI基础设施的局限性，StubHub希望使其PKI架构与新重构的云环境保持一致，确保PKI与其生产、质量保证和开发环境之间的无缝映射。同样重要的是，满足严格的访问控制和监控要求，保护PKI的完整性，同时遵守行业最佳实践。此外，StubHub现有的PKI不支持他们的基石项目，即利用SPIRE为工作负载提供加密身份，这是一种为单个工作负载提供加密身份以进行身份验证的机制。

StubHub的PKI架构跨越多个亚马逊云科技账户和区域，其中根CA位于专用的PKI账户中，通过Amazon Resource Access Manager (RAM)共享给其他账户。这种方法实现了区域存在，颁发CA分别位于us-east-1和us-west-2区域，分别服务于生产和非生产环境。然后，颁发CA通过RAM共享给组织单位，在区域和账户边界上提供存在点。

利用Terraform的基础设施即代码能力，StubHub编排了其PKI的部署，采用了与亚马逊云科技 Private CA和RAM无缝集成的定制模块。此外，亚马逊云科技 Organizations Service Control Policies (SCPs)被谨慎地用于实施治理，防止对PKI基础设施进行未经授权的修改，确保了深度防御策略的健壮性。SCPs用于防止禁用或创建新的CA、修改RAM资源策略以及其他可能危及PKI完整性的操作。

从StubHub的经历中，Anthony总结出了宝贵的经验教训，为组织开展类似工作提供了指导原则。他强调了保持简单但与组织保持一致的PKI架构的重要性，在复杂性和功能性之间寻求微妙的平衡。此外，他强调了健全的配置管理流程的关键性，确保将CA证书无缝部署到客户端信任存储中，这是维护PKI生态系统完整性的关键步骤。StubHub采用了各种技术来实现这一点，包括使用Amazon Systems Manager (SSM)和创建预装有CA证书的黄金镜像。

此外，Anthony倡导采用有意义的CA命名约定，这种做法有助于顺利过渡，并在未来替换或更新CA时降低意外错误的风险。当管理从即将到期的CA层次结构过渡到新的层次结构时，这种方法尤为宝贵，使工程师能够轻松理解和浏览结构。

Zack Miller随后将讨论转向亚马逊云科技将亚马逊云科技 Private CA定位为企业级PKI解决方案的远见卓识，这得益于一套旨在解决各种用例的连接器。例如，Active Directory连接器复制了传统本地Active Directory Certificate Services (ADCS)的体验，使加入域的设备能够无缝地从亚马逊云科技 Private CA获取证书。该连接器充当注册服务器，将来自Windows设备的证书请求转换为对亚马逊云科技 Private CA的API调用，为用户和管理员提供了透明且熟悉的体验。

同样，Kubernetes连接器有助于向Kubernetes集群和工作负载颁发证书，利用了本机Cert Manager实用程序。通过与Cert Manager集成提供程序插件，组织可以指定多个CA，增强了区域中断或服务中断时的弹性和故障转移能力。这种方法符合StubHub作为其SPIRE工作负载身份解决方案的一部分向Kubernetes容器颁发证书的用例。

为了满足移动设备管理的需求，SCEP(简单Certificate Enrollment Protocol)连接器支持通过与Microsoft Intune和Jamf Pro等常见MDM(移动设备管理)解决方案集成，向iPhone、Mac笔记本电脑和其他设备颁发证书。该连接器确保了用户和管理员的无缝过渡，消除了为特定用例维护单独的本地PKI的需求。

在演讲接近尾声时，Zack Miller分享了在亚马逊云科技上运行PKI的一系列建议实践，这些实践源于多年的经验和行业最佳实践。他强调了彻底记录CA结构和策略的重要性，确保未来的管理员能够轻松浏览PKI的复杂性。

为CA和最终实体证书定义适当的有效期是另一个关键考虑因素，Zack倡导较长的有效期，尤其是对于根CA。这种方法可以最小化频繁更新信任存储的负担，降低运营开销，同时利用亚马逊云科技 Private CA的FIPS 140-2 Level 3 HSM的固有安全性。例如，Amazon Trust Services根CA的有效期长达150年。

Zack断言，在设计CA层次结构时，简单性应该是指导原则，因为复杂的结构可能会引入不必要的复杂性、增加成本并阻碍治理工作。将根CA隔离在专用账户中，并实施严格的访问控制和治理策略，进一步加强了PKI基础设施的安全态势。Zack警告不要从根CA颁发最终实体证书的做法，除非有合理的例外情况，因为这违反了不颁发有效期长于颁发CA的证书的原则。

利用Amazon Resource Access Manager (RAM)实现跨账户CA共享被视为最佳实践，使组织能够集中管理其PKI，同时降低成本并增强治理能力。StubHub的架构体现了这种方法，他们的根CA通过RAM跨账户共享，每个实例的成本约为400美元，从而减少了管理单个CA实例的开销。

总而言之，亚马逊云科技 re:Invent 2024大会成为了创新的催化剂，揭示了在亚马逊云科技上构建企业级PKI的变革潜力。通过Zack Miller和Anthony Scheller分享的见解，与会者深入了解了这一努力所涉及的复杂性，从利用亚马逊云科技的托管证书服务到导航证书吊销和分层CA结构的复杂性。

StubHub的非凡历程证明了云原生PKI解决方案的强大功能，展示了组织如何通过采用亚马逊云科技生态系统降低成本、提高运营效率并加强安全态势。此外，亚马逊云科技对连接器和集成的远见方法将开启新的可能领域，实现亚马逊云科技 Private CA与现有系统之间的无缝互操作性，为真正的企业级PKI解决方案铺平道路。

我们正处在 Agentic AI 爆发前夜。 2025 亚马逊云科技中国峰会提出，企业要从 " 成本优化 " 转向 " 创新驱动 " ，通过完善的数据战略和 AI 云服务，把握全球化机遇。亚马逊将投入 1000 亿美元在 AI 算力、云基础设施等领域，通过领先的技术实力和帮助“中国企业出海“和”服务中国客户创新“的丰富经验，助力企业在 AI 时代突破。