TLS-certificaten met AWS Certificate Manager

Versleuteling tijdens transport beschermt gegevens terwijl ze zich over netwerken verplaatsen met TLS (Transport Layer Security), het protocol achter HTTPS.

Zonder deze versleuteling kunnen aanvallers op de route verkeer lezen of aanpassen. TLS vereist certificaten, en ACM helpt bij het beheer daarvan.

AWS Certificate Manager (ACM) verstrekt, beheert en vernieuwt TLS-certificaten voor AWS-services.

• Openbare certificaten van ACM zijn gratis.
• ACM verwerkt de vernieuwing automatisch, waardoor het risico op verlopen certificaten verdwijnt.

Om een openbaar certificaat uit te geven, moet ACM controleren of je zeggenschap hebt over het domein.

• Bij DNS-validatie voeg je een CNAME-record toe (de voorkeursmethode, die automatische vernieuwing mogelijk maakt).
• Bij e-mailvalidatie wordt een bevestiging naar de domeincontactpersonen gestuurd.

DNS-validatie wordt aanbevolen voor vernieuwing zonder handmatige tussenkomst.

ACM integreert met AWS-services die TLS beëindigen, waaronder:

• Application Load Balancers en Network Load Balancers.
• CloudFront-distributies.
• API Gateway.

Je koppelt het certificaat aan de listener; de service handelt de TLS-handshake af.

Voor ACM-certificaten die door geïntegreerde services worden gebruikt, wordt de privésleutel door ACM beheerd en nooit openbaar gemaakt.

Je kunt de sleutel niet downloaden. Dat is een beveiligingsvoordeel: er is geen sleutelbestand dat kan uitlekken. Het certificaat werkt gewoon met de ondersteunde service.

ACM vernieuwt beheerde certificaten automatisch voordat ze verlopen, zolang de validatie actief blijft (DNS-records aanwezig zijn).

Zo voorkom je uitval doordat iemand vergeet certificaten te vernieuwen, een klassiek operationeel probleem. Voor certificaten die via e-mail zijn gevalideerd, kunnen handmatige stappen nodig zijn.

AWS Private CA (Certificate Authority) geeft privécertificaten uit voor intern gebruik.

Gebruik dit voor mTLS tussen services, interne API's en apparaten die je eigen CA moeten vertrouwen in plaats van een openbare CA. Het is een betaalde service voor interne PKI-behoeften.

Je kunt certificaten van derden in ACM importeren voor gebruik met geïntegreerde services.

Geïmporteerde certificaten worden echter niet automatisch vernieuwd; je moet ze vóór het verlopen opnieuw importeren. Certificaten die door ACM zelf zijn uitgegeven, hebben waar mogelijk de voorkeur vanwege de automatische vernieuwing.

Bij ACM zijn enkele regionale bijzonderheden belangrijk om te onthouden:

• Certificaten voor CloudFront moeten worden aangevraagd in us-east-1.
• Certificaten voor regionale resources (ALB) bevinden zich in de regio van die resource.

Deze regioregel is een veelvoorkomend examendetail.

Wanneer je een certificaat koppelt aan een load balancer of CloudFront, kies je ook een beveiligingsbeleid dat bepaalt welke TLS-versies en coderingssuites zijn toegestaan.

Moderne beleidsregels vereisen TLS 1.2 of hoger en sluiten zwakke coderingssuites uit. Met een sterk beleid voorkom je dat clients verouderde, kwetsbare versleuteling onderhandelen, zelfs wanneer er een geldig certificaat aanwezig is.

Naast het verstrekken van certificaten moet je afdwingen dat verkeer TLS gebruikt.

• Stuur HTTP door naar HTTPS op load balancers en CloudFront.
• Gebruik bucketbeleid (aws:SecureTransport) om S3-toegang zonder TLS te weigeren.

Een certificaat uitgeven is niet genoeg; het gebruik ervan moet verplicht zijn.

Je hebt geleerd over ACM en TLS.

• ACM verstrekt en vernieuwt automatisch gratis openbare TLS-certificaten.
• Koppel ze aan ALB, CloudFront en API Gateway; de privésleutel blijft beschermd.
• CloudFront-certificaten moeten zich in us-east-1 bevinden en je moet het gebruik van TLS nog steeds afdwingen.