Sertifikat TLS dengan AWS Certificate Manager

Enkripsi saat transit melindungi data saat berpindah melalui jaringan menggunakan TLS (Transport Layer Security), yaitu protokol yang mendasari HTTPS.

Tanpa enkripsi ini, penyerang di jalur komunikasi dapat membaca atau mengubah lalu lintas. TLS memerlukan sertifikat, dan ACM berperan dalam pengelolaannya.

AWS Certificate Manager (ACM) menyediakan, mengelola, dan memperbarui sertifikat TLS untuk layanan AWS.

• Sertifikat publik dari ACM bersifat gratis.
• ACM menangani pembaruan secara otomatis, sehingga menghilangkan risiko sertifikat kedaluwarsa.

Untuk menerbitkan sertifikat publik, ACM harus memverifikasi bahwa Anda mengendalikan domain tersebut.

• Validasi DNS menambahkan rekaman CNAME (lebih disarankan dan memungkinkan pembaruan otomatis).
• Validasi email mengirimkan konfirmasi kepada kontak domain.

Validasi DNS direkomendasikan agar pembaruan dapat berlangsung tanpa intervensi.

ACM terintegrasi dengan layanan AWS yang mengakhiri koneksi TLS, termasuk:

• Penyeimbang Beban Aplikasi dan Jaringan.
• Distribusi CloudFront.
• API Gateway.

Anda memasang sertifikat pada pendengar; layanan menangani jabat tangan TLS.

Untuk sertifikat yang diterbitkan ACM dan digunakan oleh layanan terintegrasi, kunci privat dikelola oleh ACM dan tidak pernah dibuka.

Anda tidak dapat mengunduhnya. Ini merupakan manfaat keamanan karena tidak ada berkas kunci yang dapat bocor. Sertifikat tersebut langsung berfungsi dengan layanan yang didukung.

ACM memperbarui sertifikat terkelola secara otomatis sebelum kedaluwarsa, selama validasi tetap tersedia (rekaman DNS masih ada).

Hal ini menghilangkan gangguan yang disebabkan oleh pembaruan sertifikat yang terlupakan, yaitu kegagalan operasional yang umum. Sertifikat yang divalidasi melalui email mungkin memerlukan langkah manual.

AWS Private CA (Certificate Authority) menerbitkan sertifikat privat untuk penggunaan internal.

Gunakan fitur ini untuk mTLS antarlayanan, API internal, dan perangkat yang seharusnya memercayai CA milik Anda sendiri, bukan CA publik. Ini adalah layanan berbayar untuk kebutuhan PKI internal.

Anda dapat mengimpor sertifikat pihak ketiga ke ACM untuk digunakan bersama layanan terintegrasi.

Namun, sertifikat yang diimpor tidak diperbarui secara otomatis; Anda harus mengimpornya kembali sebelum kedaluwarsa. Jika memungkinkan, sertifikat yang diterbitkan ACM secara native lebih disarankan karena otomatisasi pembaruannya.

ACM memiliki beberapa hal khusus terkait region yang perlu diingat:

• Sertifikat untuk CloudFront harus diminta di us-east-1.
• Sertifikat untuk sumber daya regional (ALB) berada di region sumber daya tersebut.

Aturan region ini sering menjadi detail yang ditanyakan dalam ujian.

Saat memasang sertifikat pada penyeimbang beban atau CloudFront, Anda juga memilih kebijakan keamanan yang menentukan versi TLS dan cipher yang diizinkan.

Kebijakan modern mewajibkan TLS 1.2 atau yang lebih baru dan menghapus cipher yang lemah. Memilih kebijakan yang kuat mencegah klien menegosiasikan enkripsi yang usang dan rentan meskipun sertifikat yang valid tersedia.

Selain menyediakan sertifikat, terapkan aturan agar lalu lintas menggunakan TLS.

• Arahkan HTTP ke HTTPS pada penyeimbang beban dan CloudFront.
• Gunakan kebijakan bucket (aws:SecureTransport) untuk menolak akses S3 non-TLS.

Menerbitkan sertifikat saja tidak cukup; penggunaannya harus diwajibkan.

Ingat kembali detail tentang ACM.

Anda telah mempelajari ACM dan TLS.

• ACM menyediakan dan memperbarui otomatis sertifikat TLS publik secara gratis.
• Pasang sertifikat tersebut pada ALB, CloudFront, dan API Gateway; kunci privat tetap terlindungi.
• Sertifikat CloudFront harus berada di us-east-1, dan Anda tetap harus menerapkan penggunaan TLS.