מודל אמון
רקע
בתשתית טיפוסית של מפתח ציבורי באינטרנט (PKI), מיליוני לקוחות ברחבי העולם סומכים על קבוצה של רשויות אישורים (CA) עצמאיות כדי לאשר זהויות (כמו שמות דומיין) באישורים. כחלק מהאחריות שלהן, רשויות אישורים מתחייבות להנפיק אישורים רק אחרי שהן אימתו באופן עצמאי את הזהות שמופיעה באישור. לדוגמה, רשות אישורים צריכה בדרך כלל לוודא שמי שמבקש אישור לשם הדומיין example.com באמת שולט בדומיין הזה לפני שהיא מנפיקה לו אישור. מכיוון שרשויות האישורים האלה יכולות להנפיק אישורים למיליוני לקוחות שאין להם קשר ישיר איתן, הן מוגבלות לאימות זהויות שאפשר לאמת באופן ציבורי. הגבלנו את השימוש ברשויות האישורים האלה לתהליכי אימות מוגדרים היטב, שמוחלים באופן עקבי על כל ה-PKI באינטרנט.
בניגוד ל-Web PKI, ב-PKI פרטי יש בדרך כלל היררכיית CA קטנה יותר, שמנוהלת ישירות על ידי ארגון. תשתית PKI פרטית שולחת אישורים רק ללקוחות שסומכים על הארגון שיש לו אמצעי בקרה מתאימים (לדוגמה, מכונות בבעלות הארגון). למנהלי רשויות אישורים יש לרוב דרכים משלהם לאימות זהויות שהם מנפיקים להן אישורים (לדוגמה, הנפקת אישורים לעובדים שלהם), ולכן הם לא מוגבלים באותן דרישות כמו ב-Web PKI. הגמישות הזו היא אחד היתרונות העיקריים של PKI פרטי על פני PKI באינטרנט. תשתית PKI פרטית מאפשרת תרחישי שימוש חדשים, כמו אבטחת אתרים פנימיים עם שמות דומיין קצרים בלי לדרוש בעלות ייחודית על השמות האלה, או קידוד פורמטים חלופיים של זהויות (כמו מזהי SPIFFE) באישור.
מטרת Certificate Authority Service היא לפשט את תהליך הניהול של PKI פרטי, ולאפשר לכם ליצור ולנהל רשויות אישורים בקלות. לכן, שירות ה-CA לא מגדיר איך צריך לאמת את הזהויות באישורים. עם זאת, שירות ה-CA מספק מערך חזק של אמצעי בקרה על מדיניות שמאפשרים הגדרה פרטנית של מאגרי CA. מידע נוסף זמין במאמר בנושא אמצעי בקרה של מדיניות.