AWS Certificate Manager를 이용한 TLS 인증서

전송 중 암호화는 HTTPS의 기반 프로토콜인 TLS(전송 계층 보안)를 사용하여 네트워크를 통해 이동하는 데이터를 보호합니다.

이 기능이 없으면 전송 경로에 있는 공격자가 트래픽을 읽거나 변조할 수 있습니다. TLS에는 인증서가 필요하며, 이를 관리하는 데 ACM이 사용됩니다.

AWS 인증서 관리자(ACM)는 AWS 서비스용 TLS 인증서를 프로비저닝, 관리 및 갱신합니다.

• ACM의 공개 인증서는 무료입니다.
• ACM은 갱신을 자동으로 처리하여 인증서 만료 위험을 없앱니다.

공개 인증서를 발급하려면 ACM은 사용자가 해당 도메인을 제어하는지 확인해야 합니다.

• DNS 검증은 CNAME 레코드를 추가합니다(권장 방식이며 자동 갱신을 활성화함).
• 이메일 검증은 도메인 연락처에 확인 메시지를 보냅니다.

별도 관리 없이 갱신하려면 DNS 검증을 권장합니다.

ACM은 다음을 포함하여 TLS를 종료하는 AWS 서비스와 통합됩니다.

• 애플리케이션 및 네트워크 로드 밸런서.
• CloudFront 배포.
• API 게이트웨이.

리스너에 인증서를 연결하면 서비스가 TLS 핸드셰이크를 처리합니다.

통합 서비스에서 사용하는 ACM 발급 인증서의 경우 개인 키는 ACM에서 관리되며 절대 노출되지 않습니다.

개인 키를 다운로드할 수 없으며, 이는 보안상 이점입니다. 유출될 키 파일이 없기 때문입니다. 인증서는 지원되는 서비스에서 바로 작동합니다.

ACM은 검증 상태가 유지되는 한(DNS 레코드가 존재하는 한) 만료 전에 관리형 인증서를 자동으로 갱신합니다.

이 기능은 인증서 갱신을 잊어서 발생하는, 전형적인 운영 장애를 없앱니다. 이메일로 검증한 인증서는 수동 단계가 필요할 수 있습니다.

AWS 프라이빗 CA(인증 기관)는 내부 용도의 프라이빗 인증서를 발급합니다.

공개 CA가 아니라 자체 CA를 신뢰해야 하는 서비스 간 mTLS, 내부 API, 디바이스에 사용하세요. 내부 PKI 요구 사항을 위한 유료 서비스입니다.

통합 서비스에서 사용하기 위해 타사 인증서를 ACM으로 가져올 수 있습니다.

하지만 가져온 인증서는 자동으로 갱신되지 않으므로 만료 전에 다시 가져와야 합니다. 가능하다면 갱신 자동화를 위해 ACM이 기본 발급한 인증서를 사용하는 편이 좋습니다.

ACM에는 기억할 만한 리전 관련 특성이 있습니다.

• CloudFront용 인증서는 us-east-1에서 요청해야 합니다.
• 리전별 리소스(ALB)의 인증서는 해당 리소스의 리전에 있습니다.

이 리전 규칙은 시험에 자주 나오는 세부 사항입니다.

인증서를 로드 밸런서나 CloudFront에 연결할 때는 허용되는 TLS 버전과 암호 제품군을 정의하는 보안 정책도 선택합니다.

최신 정책은 TLS 1.2 이상을 요구하고 취약한 암호 제품군을 제외합니다. 강력한 정책을 선택하면 유효한 인증서가 있더라도 클라이언트가 오래되고 취약한 암호화를 협상하지 못하게 합니다.

인증서를 제공하는 것에 더해 트래픽이 TLS를 사용하도록 강제하세요.

• 로드 밸런서와 CloudFront에서 HTTP를 HTTPS로 리디렉션합니다.
• 버킷 정책(aws:SecureTransport)을 사용하여 TLS가 아닌 S3 접근을 거부합니다.

인증서를 발급하는 것만으로는 충분하지 않으며, 사용을 요구해야 합니다.

ACM의 세부 사항을 떠올려 보세요.

ACM과 TLS에 대해 학습했습니다.

• ACM은 무료 공개 TLS 인증서를 프로비저닝하고 자동 갱신합니다.
• 인증서를 ALB, CloudFront, API 게이트웨이에 연결하며, 개인 키는 보호된 상태로 유지됩니다.
• CloudFront 인증서는 us-east-1에 있어야 하며, 여전히 TLS 사용을 강제해야 합니다.