First, let’s setup our trust store,

First, let’s setup our trust store, which is just a key store that will only contain certificates. Let’s assume we have a layered Certificate Authority (CA) structure, like the image above, with a root CA and a subordinate global CA. The root CA has its private key stored offline and its certificate is the one we want our services to trust. The root certificate is the only certificate we want our services to trust on that channel. We don’t even want a certificate issued by a reputable 3rd party CA to be trusted by our service. So our trust store will contain only the root certificate, which means the server will only establish connections from clients that have a certificate issued by the root CA or its child, the global CA, which will be the issuer of our server’s certificate. This way, it’s quite easy to rotate our server’s certificate, either when it expires or if it is somehow compromised; we can just change it on that service and don’t have to worry about the other services it communicates with losing trust because they trust the root. If all our services trusted each other explicitly, the rotation would be much more difficult, especially if you can’t take downtime. We’ll use the trust store for both the client and the server, so you only need to make one, which you can copy if you need to.

Kết quả (Việt) 1:

Đầu tiên, hãy thiết lập của chúng tôi cửa hàng tin tưởng, đó là chỉ là một cửa hàng quan trọng mà sẽ chỉ có giấy chứng nhận. Giả sử chúng ta có một lớp giấy chứng nhận Authority (CA) cấu trúc, như hình ở trên, với một gốc CA và một thuộc cấp của CA toàn cầu. Gốc CA có khóa riêng của nó được lưu trữ ngoại tuyến và chứng chỉ của nó là một trong những chúng tôi muốn dịch vụ của chúng tôi tin tưởng. Chứng chỉ gốc là chứng chỉ duy nhất chúng tôi muốn dịch vụ của chúng tôi tin tưởng vào kênh đó. Chúng tôi thậm chí không muốn một chứng chỉ phát hành bởi một bên thứ 3 có uy tín CA để được tin cậy của dịch vụ của chúng tôi. Vì vậy chúng tôi cửa hàng tin tưởng sẽ chứa chỉ gốc giấy chứng nhận, có nghĩa là các máy chủ sẽ chỉ thiết lập kết nối từ khách hàng có chứng chỉ cấp bởi root CA hay con của nó, CA toàn cầu, mà sẽ là phát hành chứng chỉ máy chủ của chúng tôi. Bằng cách này, nó là khá dễ dàng để xoay các chứng chỉ của máy chủ của chúng tôi, hoặc khi nó hết hạn hoặc nếu nó bằng cách nào đó bị xâm phạm; chúng tôi chỉ có thể thay đổi nó trên dịch vụ đó và không phải lo lắng về các dịch vụ khác mà nó giao tiếp với mất lòng tin vì họ tin tưởng vào thư mục gốc. Nếu tất cả các dịch vụ đáng tin cậy lẫn nhau một cách rõ ràng, việc luân chuyển sẽ khó khăn hơn, đặc biệt là nếu bạn không có thời gian chết. Chúng tôi sẽ sử dụng các cửa hàng tin tưởng cho cả khách hàng và máy chủ, do đó, bạn chỉ cần thực hiện một, mà bạn có thể sao chép nếu bạn cần.

Kết quả (Việt) 2:

Đầu tiên, chúng ta hãy thiết lập cửa hàng tin cậy của chúng tôi, mà chỉ là một cửa hàng quan trọng sẽ chỉ chứa các chứng chỉ. Giả sử chúng ta có một cấu trúc lớp Certificate Authority (CA), giống như hình ảnh trên, với một CA gốc và một CA. toàn cầu cấp dưới CA gốc có trọng được lưu trữ riêng của nó ẩn và giấy chứng nhận của nó là những gì chúng tôi muốn các dịch vụ của chúng tôi tin tưởng. Các giấy chứng nhận gốc là chứng chỉ duy nhất chúng tôi muốn các dịch vụ của chúng tôi tin tưởng vào kênh đó. Chúng tôi thậm chí không muốn có một giấy chứng nhận do một CA bên thứ 3 có uy tín để được tin cậy bởi dịch vụ của chúng tôi. Vì vậy, cửa hàng tin cậy của chúng tôi sẽ chỉ chứa các chứng chỉ gốc, có nghĩa là máy chủ sẽ chỉ thiết lập các kết nối từ các khách hàng có một chứng chỉ của CA gốc hoặc con của nó, là CA toàn cầu, mà sẽ được tổ chức phát hành chứng chỉ máy chủ của chúng tôi. Bằng cách này, nó khá dễ dàng để xoay chứng chỉ máy chủ của chúng tôi, hoặc khi nó hết hạn hoặc nếu nó bằng cách nào đó bị tổn thương; chúng ta chỉ có thể thay đổi nó trên dịch vụ đó và không phải lo lắng về các dịch vụ khác nó giao tiếp với mất lòng tin vì họ tin tưởng vào root. Nếu tất cả các dịch vụ của chúng tôi tin tưởng lẫn nhau một cách rõ ràng, vòng xoay sẽ được nhiều khó khăn hơn, đặc biệt là nếu bạn không có thể mất thời gian chết. Chúng tôi sẽ sử dụng các cửa hàng tin tưởng cho cả máy khách và máy chủ, vì vậy bạn chỉ cần thực hiện một, mà bạn có thể sao chép nếu bạn cần.