Sijil TLS dengan AWS Certificate Manager

Penyulitan semasa penghantaran melindungi data ketika bergerak merentas rangkaian menggunakan TLS (Keselamatan Lapisan Pengangkutan), iaitu protokol di sebalik HTTPS.

Tanpanya, penyerang di laluan rangkaian boleh membaca atau mengubah suai trafik. TLS memerlukan sijil, dan pengurusan sijil inilah yang dikendalikan oleh ACM.

Pengurus Sijil AWS (ACM) menyediakan, mengurus dan memperbaharui sijil TLS untuk perkhidmatan AWS.

• Sijil awam daripada ACM adalah percuma.
• ACM mengendalikan pembaharuan secara automatik, sekali gus menghapuskan risiko sijil tamat tempoh.

Untuk mengeluarkan sijil awam, ACM mesti mengesahkan bahawa anda mengawal domain tersebut.

• Pengesahan DNS menambah rekod CNAME (pilihan yang disyorkan dan membolehkan pembaharuan automatik).
• Pengesahan e-mel menghantar pengesahan kepada kenalan domain.

Pengesahan DNS disyorkan untuk pembaharuan tanpa campur tangan.

ACM disepadukan dengan perkhidmatan AWS yang menamatkan TLS, termasuk:

• Pengimbang Beban Aplikasi dan Rangkaian.
• Pengedaran CloudFront.
• Gerbang API.

Anda memasang sijil pada pendengar; perkhidmatan mengendalikan jabat tangan TLS.

Bagi sijil yang dikeluarkan ACM dan digunakan oleh perkhidmatan bersepadu, kunci peribadi diuruskan oleh ACM dan tidak pernah didedahkan.

Anda tidak boleh memuat turunnya, yang merupakan manfaat keselamatan kerana tiada fail kunci untuk dibocorkan. Sijil itu terus berfungsi dengan perkhidmatan yang disokong.

ACM memperbaharui sijil terurus secara automatik sebelum tamat tempoh, selagi pengesahan masih tersedia (rekod DNS masih ada).

Ini menghapuskan gangguan yang disebabkan oleh terlupa memperbaharui sijil, iaitu kegagalan operasi yang lazim. Sijil yang disahkan melalui e-mel mungkin memerlukan langkah manual.

CA Peribadi AWS (Pihak Berkuasa Sijil) mengeluarkan sijil peribadi untuk kegunaan dalaman.

Gunakannya untuk mTLS antara perkhidmatan, API dalaman dan peranti yang sepatutnya mempercayai CA anda sendiri, bukannya CA awam. Ini ialah perkhidmatan berbayar untuk keperluan PKI dalaman.

Anda boleh mengimport sijil pihak ketiga ke dalam ACM untuk digunakan dengan perkhidmatan bersepadu.

Walau bagaimanapun, sijil yang diimport tidak diperbaharui secara automatik; anda mesti mengimportnya semula sebelum tamat tempoh. Jika boleh, sijil yang dikeluarkan ACM secara asli lebih baik kerana automasi pembaharuannya.

ACM mempunyai beberapa perincian rantau yang perlu diingati:

• Sijil untuk CloudFront mesti diminta di us-east-1.
• Sijil untuk sumber serantau (ALB) berada di rantau sumber tersebut.

Peraturan rantau ini ialah perincian peperiksaan yang biasa ditanya.

Apabila memasang sijil pada pengimbang beban atau CloudFront, anda turut memilih dasar keselamatan yang menentukan versi TLS dan sifir yang dibenarkan.

Dasar moden memerlukan TLS 1.2 atau lebih tinggi dan menggugurkan sifir yang lemah. Memilih dasar yang kukuh menghalang klien daripada merundingkan penyulitan yang lapuk dan terdedah, walaupun sijil yang sah tersedia.

Selain menyediakan sijil, kuatkuasakan supaya trafik menggunakan TLS.

• Arahkan HTTP ke HTTPS pada pengimbang beban dan CloudFront.
• Gunakan dasar baldi (aws:SecureTransport) untuk menolak akses S3 bukan TLS.

Mengeluarkan sijil sahaja tidak mencukupi; penggunaannya mesti diwajibkan.

Anda telah mempelajari ACM dan TLS.

• ACM menyediakan dan memperbaharui secara automatik sijil TLS awam percuma.
• Pasangkannya pada ALB, CloudFront dan Gerbang API; kunci peribadi kekal dilindungi.
• Sijil CloudFront mesti berada di us-east-1, dan anda masih perlu menguatkuasakan penggunaan TLS.