Certificats TLS avec AWS Certificate Manager

Le chiffrement en transit protège les données lorsqu’elles circulent sur les réseaux grâce à TLS (Transport Layer Security), le protocole utilisé par HTTPS.

Sans lui, des attaquants présents sur le trajet pourraient lire ou modifier le trafic. TLS nécessite des certificats, et c’est là qu’ACM intervient pour les gérer.

AWS Certificate Manager (ACM) fournit, gère et renouvelle les certificats TLS pour les services AWS.

• Les certificats publics d’ACM sont gratuits.
• ACM gère automatiquement le renouvellement, ce qui élimine le risque de certificats expirés.

Pour émettre un certificat public, ACM doit vérifier que vous contrôlez le domaine.

• La validation DNS ajoute un enregistrement CNAME (méthode privilégiée, permettant le renouvellement automatique).
• La validation par e-mail envoie une confirmation aux contacts du domaine.

La validation DNS est recommandée pour un renouvellement sans intervention.

ACM s’intègre aux services AWS qui terminent les connexions TLS, notamment :

• Les répartiteurs de charge d’application et de réseau.
• Les distributions CloudFront.
• API Gateway.

Vous associez le certificat à l’écouteur ; le service gère la négociation TLS.

Pour les certificats émis par ACM et utilisés par les services intégrés, ACM gère la clé privée, qui n’est jamais exposée.

Vous ne pouvez pas la télécharger, ce qui constitue un avantage de sécurité : aucun fichier de clé ne risque d’être divulgué. Le certificat fonctionne simplement avec le service pris en charge.

ACM renouvelle automatiquement les certificats gérés avant leur expiration, tant que la validation reste en place (enregistrements DNS présents).

Cela élimine les interruptions dues à l’oubli du renouvellement des certificats, une défaillance opérationnelle classique. Les certificats validés par e-mail peuvent nécessiter des étapes manuelles.

AWS Private CA (autorité de certification) émet des certificats privés pour un usage interne.

Utilisez-le pour le mTLS entre services, les API internes et les appareils qui doivent faire confiance à votre propre autorité de certification plutôt qu’à une autorité publique. Il s’agit d’un service payant destiné aux besoins de PKI internes.

Vous pouvez importer des certificats tiers dans ACM pour les utiliser avec les services intégrés.

Cependant, les certificats importés ne sont pas renouvelés automatiquement ; vous devez les importer de nouveau avant leur expiration. Lorsque c’est possible, les certificats émis nativement par ACM sont préférables grâce à l’automatisation du renouvellement.

ACM présente quelques particularités régionales à retenir :

• Les certificats destinés à CloudFront doivent être demandés dans us-east-1.
• Les certificats destinés aux ressources régionales (ALB) résident dans la région de la ressource.

Cette règle régionale est un détail fréquemment abordé aux examens.

Lorsque vous associez un certificat à un répartiteur de charge ou à CloudFront, vous choisissez également une politique de sécurité qui définit les versions TLS et les chiffrements autorisés.

Les politiques modernes exigent TLS 1.2 ou une version ultérieure et abandonnent les chiffrements faibles. Le choix d’une politique robuste empêche les clients de négocier un chiffrement obsolète et vulnérable, même lorsqu’un certificat valide est présent.

Au-delà de la fourniture de certificats, imposez que le trafic utilise TLS.

• Redirigez HTTP vers HTTPS sur les répartiteurs de charge et CloudFront.
• Utilisez des politiques de compartiment (aws:SecureTransport) pour refuser l’accès S3 qui n’utilise pas TLS.

Émettre un certificat ne suffit pas ; son utilisation doit être obligatoire.

Rappelez-vous un détail concernant ACM.

Vous avez découvert ACM et TLS.

• ACM fournit et renouvelle automatiquement les certificats TLS publics gratuits.
• Associez-les à ALB, CloudFront et API Gateway ; la clé privée reste protégée.
• Les certificats CloudFront doivent se trouver dans us-east-1, et vous devez tout de même imposer l’utilisation de TLS.