CA 证书已撤销,但设备证书仍处于活动状态 - Amazon IoT Core
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

CA 证书已撤销,但设备证书仍处于活动状态

CA 证书已被吊销,但在 Amazon IoT 中仍处于活动状态。

此检查在 CLI 和 API 中显示为 REVOKED_CA_CERTIFICATE_STILL_ACTIVE_CHECK

严重性:严重

Details

CA 证书在发证机构所维护的证书吊销列表中标记为已吊销,但在 Amazon IoT 中仍标记为“ACTIVE”或“PENDING_TRANSFER”。

此检查发现不合规的 CA 证书时,会返回以下原因代码:

  • CERTIFICATE_REVOKED_BY_ISSUER

为什么这非常重要

已吊销的 CA 证书不应再用于签发设备证书。证书可能因遭破坏而被吊销。如果新添加的设备具有使用此 CA 证书签发的证书,可能会造成安全威胁。

如何修复

  1. 使用 UpdateCACertificate 在 Amazon IoT 中将该 CA 证书标记为“INACTIVE”。您还可以使用缓解操作实现以下目的:

    • 对您的审计查找结果应用 UPDATE_CA_CERTIFICATE 缓解操作以进行此更改。

    • 应用 PUBLISH_FINDINGS_TO_SNS 缓解操作,以实施自定义响应来响应 Amazon SNS 消息。

    有关更多信息,请参阅 缓解操作

  2. 对吊销 CA 证书后的设备证书注册活动进行审核,并考虑吊销在此期间可能使用它颁发的任何设备证书。可以使用 ListCertificatesByCA 列出通过该 CA 证书签发的设备证书,并使用 UpdateCertificate 吊销设备证书。