TLS-Zertifikate mit AWS Certificate Manager

Verschlüsselung bei der Übertragung schützt Daten, während sie sich über Netzwerke bewegen. Dazu wird TLS (Transport Layer Security) verwendet, das Protokoll hinter HTTPS.

Ohne diese Verschlüsselung könnten Angreifer auf dem Übertragungsweg den Datenverkehr lesen oder manipulieren. TLS erfordert Zertifikate; deren Verwaltung übernimmt ACM.

AWS Certificate Manager (ACM) stellt TLS-Zertifikate für AWS-Services bereit, verwaltet sie und erneuert sie.

• Öffentliche Zertifikate von ACM sind kostenlos.
• ACM übernimmt die Erneuerung automatisch und beseitigt damit das Risiko abgelaufener Zertifikate.

Für die Ausstellung eines öffentlichen Zertifikats muss ACM überprüfen, dass Sie die Kontrolle über die Domäne besitzen.

• Bei der DNS-Validierung wird ein CNAME-Eintrag hinzugefügt (bevorzugt, ermöglicht automatische Erneuerung).
• Bei der E-Mail-Validierung wird eine Bestätigung an die Domänenkontakte gesendet.

Für eine automatische Erneuerung ohne manuellen Aufwand wird die DNS-Validierung empfohlen.

ACM lässt sich in AWS-Services integrieren, die TLS beenden, darunter:

• Application Load Balancers und Network Load Balancers.
• CloudFront-Distributionen.
• API Gateway.

Sie binden das Zertifikat am Listener ein; der Service übernimmt den TLS-Handshake.

Bei ACM-ausgestellten Zertifikaten, die von integrierten Services verwendet werden, wird der private Schlüssel von ACM verwaltet und niemals offengelegt.

Sie können ihn nicht herunterladen. Das ist ein Sicherheitsvorteil, da keine Schlüsseldatei verloren gehen kann. Das Zertifikat funktioniert einfach mit dem unterstützten Service.

ACM erneuert verwaltete Zertifikate automatisch vor ihrem Ablauf, solange die Validierung bestehen bleibt (DNS-Einträge vorhanden sind).

Dadurch werden Ausfälle aufgrund vergessener Zertifikatserneuerungen vermieden – ein klassischer Betriebsfehler. Bei per E-Mail validierten Zertifikaten können manuelle Schritte erforderlich sein.

AWS Private CA (Certificate Authority) stellt private Zertifikate für den internen Gebrauch aus.

Verwenden Sie es für mTLS zwischen Services, interne APIs und Geräte, die Ihrer eigenen CA statt einer öffentlichen CA vertrauen sollen. Es handelt sich um einen kostenpflichtigen Service für interne PKI-Anforderungen.

Sie können Zertifikate von Drittanbietern in ACM importieren, um sie mit integrierten Services zu verwenden.

Importierte Zertifikate werden jedoch nicht automatisch erneuert. Sie müssen sie vor dem Ablauf erneut importieren. Native, von ACM ausgestellte Zertifikate sind nach Möglichkeit vorzuziehen, da sie eine automatische Erneuerung ermöglichen.

Bei ACM sollten Sie einige Besonderheiten bezüglich der Regionen beachten:

• Zertifikate für CloudFront müssen in us-east-1 angefordert werden.
• Zertifikate für regionale Ressourcen (ALB) befinden sich in der Region dieser Ressource.

Diese Regionsregel ist ein häufig abgefragtes Prüfungsdetail.

Wenn Sie ein Zertifikat an einen Load Balancer oder CloudFront anbinden, wählen Sie außerdem eine Sicherheitsrichtlinie aus, die zulässige TLS-Versionen und Verschlüsselungsverfahren festlegt.

Moderne Richtlinien erfordern TLS 1.2 oder höher und entfernen schwache Verschlüsselungsverfahren. Mit einer starken Richtlinie verhindern Sie, dass Clients veraltete, angreifbare Verschlüsselung aushandeln, selbst wenn ein gültiges Zertifikat vorhanden ist.

Stellen Sie nicht nur Zertifikate bereit, sondern erzwingen Sie auch, dass der Datenverkehr TLS verwendet.

• Leiten Sie HTTP auf Load Balancern und CloudFront zu HTTPS um.
• Verwenden Sie Bucket-Richtlinien (aws:SecureTransport), um den nicht über TLS erfolgenden S3-Zugriff abzulehnen.

Ein ausgestelltes Zertifikat allein reicht nicht aus; seine Verwendung muss vorgeschrieben werden.

Rufen Sie sich ein ACM-Detail ins Gedächtnis.

Sie haben ACM und TLS kennengelernt.

• ACM stellt kostenlose öffentliche TLS-Zertifikate bereit und erneuert sie automatisch.
• Binden Sie sie an ALB, CloudFront und API Gateway an; der private Schlüssel bleibt geschützt.
• CloudFront-Zertifikate müssen sich in us-east-1 befinden. Außerdem müssen Sie die Verwendung von TLS weiterhin erzwingen.