Modelo de confiança

Experiência

Em uma infraestrutura de chave pública da Web (ICP) típica, milhões de clientes em todo o mundo confiam em um conjunto de autoridades de certificação (CAs, na sigla em inglês) independentes para declarar identidades (como nomes de domínio) em certificados. Como parte das responsabilidades delas, as CAs só emitem certificados quando validam de maneira independente a identidade nesse certificado. Por exemplo, uma CA normalmente precisa verificar se alguém que solicita um certificado para o nome de domínio example.com realmente controla esse domínio antes de emitir um certificado para essa pessoa. Como essas CAs podem emitir certificados para milhões de clientes em que talvez não tenham um relacionamento direto, elas estão limitadas a declarar identidades que podem ser verificadas publicamente. Essas CAs estão limitadas a determinados processos de verificação bem definidos que são aplicados de maneira consistente na ICP da Web.

Ao contrário da ICP na Web, uma ICP particular geralmente envolve uma hierarquia de CA menor, que é gerenciada diretamente por uma organização. Uma ICP particular envia certificados apenas para clientes que confiam inerentemente na organização para ter os controles apropriados (por exemplo, máquinas de propriedade dessa organização). Como os administradores de CA geralmente têm maneiras próprias de validar identidades para as quais emitem certificados (por exemplo, emitindo certificados para os próprios funcionários), eles não são limitados pelos mesmos requisitos da ICP da Web. Essa flexibilidade é uma das principais vantagens da ICP particular em relação à ICP Web. Uma ICP particular permite novos casos de uso, como proteger sites internos com nomes de domínio curtos sem exigir a propriedade exclusiva desses nomes ou codificar formatos de identidade alternativos (como IDs SPIFFE) em um certificado.

O Certificate Authority Service simplifica o processo de gerenciamento de ICP particular, permitindo que você crie e gerencie CAs facilmente. Assim, o serviço de CA não define como as identidades nos certificados precisam ser validadas. No entanto, o CA Service fornece um conjunto robusto de controles de políticas que permite a configuração refinada de pools de CA. Para mais informações, consulte Controles de política.

A seguir