¿Es una buena práctica usar certificados como medio de identificación de clientes en un entorno de nube?

No es una respuesta completa, pero hay otra cosa en la que pensar: con un sistema así, la forma más fácil de acceso de un atacante (es decir, el enlace más débil) es robar las claves privadas de uno de esos certificados de clientes. Cosas para pensar:

• ¿Las máquinas de Linux están físicamente seguras o abandonan el edificio (es decir, las computadoras portátiles)?
• ¿Tiene buenas políticas para la revocación de certificados, tanto del lado del software como del lado humano? Por ejemplo, si un certificado fue comprometido como se indica arriba, ¿cuántas horas en promedio hasta que sean notadas y revocadas?

Supongo que estas preocupaciones no son exclusivas de la autenticación basada en certificados, sin embargo, cualquier cosa donde se almacenen las claves de autenticación del lado del cliente tendrá las mismas preocupaciones.

Puede que no sea la mejor práctica, ya que está utilizando una CA de propósito específico (en cuyo caso, para autenticar a sus clientes OpenVPN) para otra cosa, pero desde el punto de vista de la seguridad, siempre que esa CA sea segura, su solución está bien. .

Sin embargo, recomendaría poner la clave privada de ese certificado de CA en un lugar seguro, como una tarjeta inteligente, una computadora completamente desconectada o un HSM.