AWS Certificate ManagerでTLS証明書を扱う

転送中の暗号化は、HTTPS の基盤となるプロトコルである TLS（Transport Layer Security）を使用して、ネットワーク間を移動するデータを保護します。

これがないと、通信経路上の攻撃者がトラフィックを読み取ったり改ざんしたりする可能性があります。TLS には証明書が必要であり、その管理を担うのが ACM です。

AWS Certificate Manager (ACM) は、AWS サービス用の TLS 証明書を発行、管理し、更新します。

• ACM のパブリック証明書は無料です。
• ACM が更新を自動的に処理するため、証明書の有効期限切れのリスクをなくせます。

パブリック証明書を発行するには、ACM がドメインを管理していることを確認する必要があります。

• DNS validation では CNAME レコードを追加します（推奨。自動更新が可能になります）。
• Email validation ではドメインの連絡先に確認メールを送信します。

手動対応なしで更新するには、DNS validation が推奨されます。

ACM は、TLS を終端する次のような AWS サービスと統合されます。

• Application and Network Load Balancers。
• CloudFront ディストリビューション。
• API Gateway。

証明書をリスナーに関連付けると、TLS ハンドシェイクはサービスが処理します。

統合サービスで使用する ACM 発行の証明書では、秘密鍵は ACM が管理し、外部に公開されることはありません。

秘密鍵をダウンロードすることはできませんが、これはセキュリティ上の利点です。漏えいする鍵ファイルが存在しないためです。証明書は、サポート対象のサービスでそのまま機能します。

ACM は、検証状態（DNS レコードが存在すること）が維持されている限り、有効期限が切れる前に管理対象の証明書を自動的に更新します。

これにより、証明書の更新忘れによる停止という、典型的な運用上の障害を防げます。Email で検証した証明書では、手動対応が必要になる場合があります。

AWS Private CA（Certificate Authority）は、内部利用向けのプライベート証明書を発行します。

サービス間の mTLS、内部 API、パブリック CA ではなく独自の CA を信頼させるデバイスなどに使用します。内部 PKI のニーズに対応する有料サービスです。

統合サービスで使用するために、サードパーティの証明書を ACM にインポートできます。

ただし、インポートした証明書は自動更新されません。有効期限が切れる前に再インポートする必要があります。可能であれば、更新を自動化できる ACM 発行の証明書が推奨されます。

ACM には、覚えておくべきリージョン固有の注意点があります。

• CloudFront 用の証明書は us-east-1 でリクエストする必要があります。
• リージョンリソース（ALB）用の証明書は、そのリソースのリージョンに存在します。

このリージョンに関するルールは、試験でよく問われるポイントです。

ロードバランサーまたは CloudFront に証明書を関連付ける際は、許可する TLS バージョンと暗号スイートを定義するセキュリティポリシーも選択します。

最新のポリシーではTLS 1.2 以上が要求され、脆弱な暗号スイートは除外されます。強力なポリシーを選択することで、有効な証明書があっても、クライアントが古く脆弱な暗号化方式を選択するのを防げます。

証明書を提供するだけでなく、トラフィックが TLS を使用するように適用します。

• ロードバランサーと CloudFront で HTTP を HTTPS にリダイレクトします。
• バケットポリシー（aws:SecureTransport）を使用して、TLS 以外の S3 アクセスを拒否します。

証明書を発行するだけでは不十分です。使用を必須にする必要があります。

ACM に関するポイントを思い出してください。

ACM と TLS について学びました。

• ACM は無料のパブリック TLS 証明書を発行し、自動更新します。
• 証明書を ALB、CloudFront、API Gateway に関連付けます。秘密鍵は保護されたままです。
• CloudFront の証明書は us-east-1 に置く必要があり、TLS の使用も別途適用する必要があります。