TLS-varmenteet AWS Certificate Managerilla

Siirron aikana käytettävä salaus suojaa tietoja niiden liikkuessa verkkojen välillä TLS:n (Transport Layer Security) avulla. TLS on HTTPS:n taustalla oleva protokolla.

Ilman sitä reitillä olevat hyökkääjät voisivat lukea tai muuttaa liikennettä. TLS edellyttää varmenteita, ja niiden hallintaan ACM on tarkoitettu.

AWS Certificate Manager (ACM) myöntää, hallinnoi ja uusii AWS-palveluiden TLS-varmenteet.

• ACM:n julkiset varmenteet ovat maksuttomia.
• ACM hoitaa uusimisen automaattisesti, joten vanhentuneiden varmenteiden riski poistuu.

Julkisen varmenteen myöntämistä varten ACM:n on varmistettava, että hallitsette toimialuetta.

• DNS-vahvistuksessa lisätään CNAME-tietue (suositeltu vaihtoehto, joka mahdollistaa automaattisen uusimisen).
• Sähköpostivahvistus lähettää vahvistusviestin toimialueen yhteyshenkilöille.

DNS-vahvistusta suositellaan vaivattomaan uusimiseen.

ACM integroituu TLS:n päättäviin AWS-palveluihin, kuten:

• Application Load Balancer- ja Network Load Balancer -kuormantasaajiin.
• CloudFront-jakeluihin.
• API Gatewayhin.

Liitätte varmenteen kuuntelijaan, ja palvelu hoitaa TLS-kättelyn.

Integroitujen palveluiden käyttämien ACM:n myöntämien varmenteiden yksityistä avainta hallinnoi ACM, eikä sitä paljasteta koskaan.

Ette voi ladata sitä, mikä on tietoturvaetu: vuotavaa avaintiedostoa ei ole. Varmenne toimii suoraan tuetun palvelun kanssa.

ACM uusii hallinnoidut varmenteet automaattisesti ennen niiden vanhenemista, kunhan vahvistus pysyy voimassa eli DNS-tietueet ovat paikallaan.

Tämä estää unohtuneiden varmenteiden uusimisten aiheuttamat käyttökatkot, jotka ovat tyypillinen operatiivinen virhe. Sähköpostilla vahvistetut varmenteet saattavat edellyttää manuaalisia toimia.

AWS Private CA (Certificate Authority) myöntää yksityisiä varmenteita sisäiseen käyttöön.

Käyttäkää sitä palveluiden väliseen mTLS-liikenteeseen, sisäisiin API-rajapintoihin ja laitteisiin, joiden tulee luottaa omaan CA:han julkisen sijaan. Se on maksullinen palvelu sisäisen PKI:n tarpeisiin.

Voitte tuoda kolmannen osapuolen varmenteita ACM:ään käytettäväksi integroitujen palveluiden kanssa.

Tuotuja varmenteita ei kuitenkaan uusita automaattisesti; ne on tuotava uudelleen ennen vanhenemista. ACM:n itse myöntämät varmenteet ovat mahdollisuuksien mukaan suositeltavia automaattisen uusimisen vuoksi.

ACM:n alueisiin liittyy muutama tärkeä erityispiirre:

• CloudFrontin varmenteet on pyydettävä alueella us-east-1.
• Alueellisten resurssien (ALB) varmenteet sijaitsevat kyseisen resurssin alueella.

Tämä aluesääntö on yleinen kokeissa kysytty yksityiskohta.

Kun liitätte varmenteen kuormantasaajaan tai CloudFrontiin, valitsette myös tietoturvakäytännön, joka määrittää sallitut TLS-versiot ja salausmenetelmät.

Nykyaikaiset käytännöt edellyttävät TLS 1.2:ta tai uudempaa ja poistavat käytöstä heikot salausmenetelmät. Vahvan käytännön valitseminen estää asiakkaita neuvottelemasta vanhentunutta ja haavoittuvaa salausta, vaikka voimassa oleva varmenne olisi käytössä.

Varmenteiden tarjoamisen lisäksi liikenne on pakotettava käyttämään TLS:ää.

• Uudelleenohjatkaa HTTP HTTPS:ään kuormantasaajissa ja CloudFrontissa.
• Estäkää S3:n muu kuin TLS-käyttö bucket-käytännöillä (aws:SecureTransport).

Varmenteen myöntäminen ei riitä, vaan sen käyttö on vaadittava.

Opitte ACM:n ja TLS:n perusteet.

• ACM myöntää ja uusii automaattisesti maksuttomat julkiset TLS-varmenteet.
• Liittäkää ne ALB:hen, CloudFrontiin ja API Gatewayhin; yksityinen avain pysyy suojattuna.
• CloudFront-varmenteiden on oltava alueella us-east-1, ja TLS:n käyttö on silti pakotettava.