شهادات TLS باستخدام AWS Certificate Manager

يحمي التشفير أثناء النقل البيانات عند انتقالها عبر الشبكات باستخدام TLS (أمان طبقة النقل)، وهو البروتوكول الذي يعتمد عليه HTTPS.

من دونه، يستطيع المهاجمون الموجودون على مسار الاتصال قراءة حركة البيانات أو العبث بها. ويتطلب TLS استخدام شهادات، وهنا يأتي دور ACM في إدارتها.

تتولى AWS Certificate Manager (ACM) إصدار شهادات TLS لخدمات AWS وإدارتها وتجديدها.

• الشهادات العامة من ACM مجانية.
• يتولى ACM التجديد تلقائيًا، ما يلغي خطر انتهاء صلاحية الشهادات.

لإصدار شهادة عامة، يجب على ACM التحقق من أنك تتحكم في النطاق.

• يضيف التحقق عبر DNS سجل CNAME (وهو الخيار المفضل، كما يتيح التجديد التلقائي).
• يرسل التحقق عبر البريد الإلكتروني رسالة تأكيد إلى جهات اتصال النطاق.

يوصى بالتحقق عبر DNS للتجديد دون تدخل يدوي.

يتكامل ACM مع خدمات AWS التي تنهي اتصال TLS، ومنها:

• Application and Network Load Balancers.
• توزيعات CloudFront.
• API Gateway.

تربط الشهادة بالمستمع؛ وتتولى الخدمة عملية مصافحة TLS.

بالنسبة إلى الشهادات التي يصدرها ACM وتستخدمها الخدمات المتكاملة، فإن ACM يدير المفتاح الخاص ولا يكشفه مطلقًا.

لا يمكنك تنزيله، وهذا يمثل فائدة أمنية؛ إذ لا يوجد ملف مفتاح يمكن تسريبه. وتعمل الشهادة ببساطة مع الخدمة المدعومة.

يقوم ACM بتجديد الشهادات المُدارة تلقائيًا قبل انتهاء صلاحيتها، ما دام التحقق قائمًا (أي إن سجلات DNS موجودة).

يلغي ذلك حالات التوقف الناتجة عن نسيان تجديد الشهادات، وهي مشكلة تشغيلية شائعة. وقد تتطلب الشهادات التي تم التحقق منها عبر البريد الإلكتروني خطوات يدوية.

تصدر AWS Private CA (جهة إصدار الشهادات) شهادات خاصة للاستخدام الداخلي.

استخدمها للاتصالات المتبادلة عبر mTLS بين الخدمات، وواجهات API الداخلية، والأجهزة التي ينبغي أن تثق بجهة إصدار الشهادات الخاصة بك بدلًا من جهة عامة. وهذه خدمة مدفوعة لتلبية احتياجات PKI الداخلية.

يمكنك استيراد شهادات من جهات خارجية إلى ACM لاستخدامها مع الخدمات المتكاملة.

لكن الشهادات المستوردة لا تُجدَّد تلقائيًا؛ إذ يجب إعادة استيرادها قبل انتهاء صلاحيتها. وتُفضَّل الشهادات التي يصدرها ACM مباشرةً متى أمكن، للاستفادة من أتمتة التجديد.

توجد نقاط مرتبطة بالمناطق في ACM يجدر تذكرها:

• يجب طلب شهادات CloudFront في us-east-1.
• توجد شهادات الموارد الإقليمية (ALB) في منطقة ذلك المورد.

تُعد قاعدة المناطق هذه من التفاصيل الشائعة في الاختبارات.

عند ربط شهادة بموازن تحميل أو بـ CloudFront، تختار أيضًا سياسة أمان تحدد إصدارات TLS وأرقام التشفير المسموح بها.

تتطلب السياسات الحديثة TLS 1.2 أو إصدارًا أحدث وتستبعد أرقام التشفير الضعيفة. ويمنع اختيار سياسة قوية العملاء من التفاوض على تشفير قديم ومعرض للخطر، حتى عند وجود شهادة صالحة.

بالإضافة إلى توفير الشهادات، افرض أن تستخدم حركة البيانات TLS.

• أعد توجيه HTTP إلى HTTPS في موازنات التحميل وCloudFront.
• استخدم سياسات الحاويات (aws:SecureTransport) لرفض وصول S3 غير المعتمد على TLS.

إصدار الشهادة وحده لا يكفي؛ بل يجب فرض استخدامها.

تذكّر إحدى تفاصيل ACM.

لقد تعلمت عن ACM وTLS.

• يصدر ACM شهادات TLS عامة مجانية ويقوم بتجديدها تلقائيًا.
• اربطها بـ ALB وCloudFront وAPI Gateway؛ ويبقى المفتاح الخاص محميًا.
• يجب أن تكون شهادات CloudFront في us-east-1، ولا يزال عليك فرض استخدام TLS.