הטמעה של מגיב OCSP עם הרשאת גישה

הדף הזה מכיל דוגמה שמוצגת לצורכי הדגמה. ‫Google לא תומכת רשמית בדוגמה הזו. מומלץ להעריך בקפידה כל פתרון לפני שמטמיעים אותו בסביבת הייצור.

במאמר הזה מוסבר על שרת ה-OCSP (פרוטוקול סטטוס האישורים אונליין) שאפשר להשתמש בו כדי לבדוק את סטטוס הביטול של אישורים שהונפקו באמצעות Certificate Authority Service. מידע נוסף על הכלי זמין במאמר OCSP responder for CA Service.

מהו פרוטוקול סטטוס אישורים אונליין (OCSP)?

‫OCSP הוא פרוטוקול לקבלת סטטוס הביטול של אישור X.509. כשמשתמש מבקש מידע על התוקף של אישור, נשלחת בקשה למשיב OCSP. שרת ה-OCSP בודק את הסטטוס של האישור מול רשות אישורים (CA) מהימנה ושולח בחזרה תגובת OCSP.

למה כדאי להשתמש בשרת OCSP מוקצה?

יש הרבה יתרונות למעקב אחרי סטטוס ביטול האישור באמצעות OCSP. היתרונות כוללים זמן תגובה מהיר יותר ודרישה קטנה יותר לרוחב פס ברשת, בהשוואה לרשימות ביטול אישורים (CRLs), שיכולות להיות גדולות מאוד.

איך פועל שרת ה-OCSP?

שרת ה-OCSP יוצר מראש תגובת OCSP לכל אישור שרשות אישורים מסוימת מנפיקה. התשובות שנוצרו מראש נשמרות כקבצים נפרדים בקטגוריה של Cloud Storage.

אפשר לפרוס שירות Cloud Run שיוצר מחדש את הקבצים האלה לפי דרישה או לפי לוח זמנים. שירות Cloud Run הוא למעשה הקצה הקדמי של שרת ה-OCSP.

אתם יכולים להשתמש ב-Cloud CDN כדי להעביר בקשות ל-Cloud Run ולשמור במטמון תגובות OCSP. מידע נוסף זמין במאמר הגדרת Cloud CDN עם Cloud Run.

הוראות להגדרת שרת OCSP עם שירות CA זמינות בקובץ README: OCSP responder for CA Service.