TLS-certifikater med AWS Certificate Manager

Kryptering under overførsel beskytter data, mens de bevæger sig på tværs af netværk, ved hjælp af TLS (Transport Layer Security), protokollen bag HTTPS.

Uden den kunne angribere på netværksvejen læse eller ændre trafikken. TLS kræver certifikater, og det er her, ACM kommer ind i billedet.

AWS Certificate Manager (ACM) udsteder, administrerer og fornyer TLS-certifikater til AWS-tjenester.

• Offentlige certifikater fra ACM er gratis.
• ACM håndterer fornyelse automatisk, så risikoen for udløbne certifikater fjernes.

For at udstede et offentligt certifikat skal ACM bekræfte, at du har kontrol over domænet.

• DNS-validering tilføjer en CNAME-post (foretrukken og muliggør automatisk fornyelse).
• E-mailvalidering sender en bekræftelse til domænets kontaktpersoner.

DNS-validering anbefales for fornyelse uden manuel indgriben.

ACM integrerer med AWS-tjenester, der afslutter TLS-forbindelser, herunder:

• Application Load Balancers og Network Load Balancers.
• CloudFront-distributioner.
• API Gateway.

Du tilknytter certifikatet til lytteren; tjenesten håndterer TLS-handshaken.

For ACM-udstedte certifikater, der bruges af integrerede tjenester, administreres den private nøgle af ACM og eksponeres aldrig.

Du kan ikke downloade den, hvilket er en sikkerhedsfordel: Der er ingen nøglefil, der kan lækkes. Certifikatet fungerer ganske enkelt med den understøttede tjeneste.

ACM fornyer automatisk administrerede certifikater, før de udløber, så længe valideringen stadig er på plads (DNS-posterne findes).

Det eliminerer driftsafbrydelser på grund af glemte certifikatfornyelser, som er en klassisk driftsfejl. E-mailvaliderede certifikater kan kræve manuelle trin.

AWS Private CA (Certificate Authority) udsteder private certifikater til intern brug.

Brug den til mTLS mellem tjenester, interne API'er og enheder, der skal have tillid til din egen CA i stedet for en offentlig. Det er en betalingstjeneste til interne PKI-behov.

Du kan importere tredjepartscertifikater til ACM og bruge dem med integrerede tjenester.

Importerede certifikater fornyes dog ikke automatisk; du skal importere dem igen, før de udløber. Indbyggede ACM-udstedte certifikater foretrækkes, når det er muligt, på grund af automatiseringen af fornyelsen.

Der er nogle regionale forhold ved ACM, som er værd at huske:

• Certifikater til CloudFront skal anmodes om i us-east-1.
• Certifikater til regionale ressourcer (ALB) findes i den pågældende ressources region.

Denne regionsregel er en almindelig eksamensdetalje.

Når du tilknytter et certifikat til en load balancer eller CloudFront, vælger du også en sikkerhedspolitik, der definerer tilladte TLS-versioner og cipher-algoritmer.

Moderne politikker kræver TLS 1.2 eller nyere og fjerner svage cipher-algoritmer. Ved at vælge en stærk politik forhindrer du klienter i at forhandle forældet, sårbar kryptering, selv når der findes et gyldigt certifikat.

Ud over at levere certifikater skal du håndhæve, at trafikken bruger TLS.

• Omdirigér HTTP til HTTPS på load balancere og CloudFront.
• Brug bucket-politikker (aws:SecureTransport) til at afvise S3-adgang uden TLS.

Det er ikke nok at udstede et certifikat; brugen skal være påkrævet.

Du har lært om ACM og TLS.

• ACM udsteder og fornyer automatisk gratis offentlige TLS-certifikater.
• Tilknyt dem til ALB, CloudFront og API Gateway; den private nøgle forbliver beskyttet.
• CloudFront-certifikater skal befinde sig i us-east-1, og du skal stadig håndhæve brugen af TLS.