Certyfikaty TLS z AWS Certificate Manager

Szyfrowanie podczas przesyłania chroni dane przemieszczające się przez sieci za pomocą TLS (Transport Layer Security), protokołu używanego przez HTTPS.

Bez niego napastnicy znajdujący się na trasie transmisji mogliby odczytywać lub modyfikować ruch. TLS wymaga certyfikatów, a zarządzaniem nimi zajmuje się ACM.

AWS Certificate Manager (ACM) wystawia, zarządza i odnawia certyfikaty TLS dla usług AWS.

• Publiczne certyfikaty z ACM są bezpłatne.
• ACM automatycznie obsługuje odnawianie, eliminując ryzyko wygaśnięcia certyfikatów.

Aby wystawić certyfikat publiczny, ACM musi potwierdzić, że mają Państwo kontrolę nad domeną.

• Weryfikacja DNS dodaje rekord CNAME (jest preferowana i umożliwia automatyczne odnawianie).
• Weryfikacja e-mail wysyła potwierdzenie do kontaktów domeny.

W przypadku bezobsługowego odnawiania zalecana jest weryfikacja DNS.

ACM integruje się z usługami AWS, które kończą połączenia TLS, w tym z:

• Application and Network Load Balancers.
• Dystrybucjami CloudFront.
• API Gateway.

Certyfikat dołącza się do listenera, a usługa obsługuje uzgadnianie TLS.

W przypadku certyfikatów wystawionych przez ACM i używanych przez zintegrowane usługi klucz prywatny jest zarządzany przez ACM i nigdy nie jest ujawniany.

Nie można go pobrać, co zwiększa bezpieczeństwo: nie istnieje plik klucza, który mógłby wyciec. Certyfikat po prostu działa z obsługiwaną usługą.

ACM automatycznie odnawia zarządzane certyfikaty przed ich wygaśnięciem, o ile weryfikacja pozostaje aktywna (rekordy DNS są obecne).

Eliminuje to awarie spowodowane zapomnianym odnowieniem certyfikatu — jest to klasyczny błąd operacyjny. Certyfikaty zweryfikowane przez e-mail mogą wymagać ręcznych działań.

AWS Private CA (Certificate Authority) wystawia certyfikaty prywatne do użytku wewnętrznego.

Można go używać do mTLS między usługami, wewnętrznych interfejsów API oraz urządzeń, które powinny ufać własnemu urzędowi certyfikacji zamiast publicznemu. Jest to płatna usługa przeznaczona do obsługi wewnętrznej infrastruktury PKI.

Mogą Państwo importować certyfikaty innych podmiotów do ACM, aby używać ich ze zintegrowanymi usługami.

Importowane certyfikaty nie są automatycznie odnawiane; przed wygaśnięciem trzeba zaimportować je ponownie. Gdy jest to możliwe, lepiej używać certyfikatów wystawionych przez ACM, aby korzystać z automatyzacji odnawiania.

Warto pamiętać o kilku kwestiach regionalnych dotyczących ACM:

• Certyfikaty dla CloudFront muszą być zamawiane w regionie us-east-1.
• Certyfikaty dla zasobów regionalnych (ALB) znajdują się w regionie tego zasobu.

Ta reguła dotycząca regionu jest często sprawdzana na egzaminach.

Podczas dołączania certyfikatu do modułu równoważenia obciążenia lub CloudFront wybiera się również politykę bezpieczeństwa, która określa dozwolone wersje TLS i szyfry.

Nowoczesne polityki wymagają TLS 1.2 lub nowszego i odrzucają słabe szyfry. Wybór silnej polityki uniemożliwia klientom uzgodnienie przestarzałego i podatnego szyfrowania, nawet gdy dostępny jest prawidłowy certyfikat.

Oprócz dostarczania certyfikatów należy wymusić, aby ruch korzystał z TLS.

• Należy przekierowywać HTTP do HTTPS na modułach równoważenia obciążenia i w CloudFront.
• Należy używać polityk bucketów (aws:SecureTransport), aby odrzucać dostęp do S3 bez TLS.

Samo wystawienie certyfikatu nie wystarcza — korzystanie z TLS musi być wymagane.

Proszę przypomnieć sobie szczegół dotyczący ACM.

Dowiedzieli się Państwo o ACM i TLS.

• ACM wystawia i automatycznie odnawia bezpłatne publiczne certyfikaty TLS.
• Certyfikaty można dołączać do ALB, CloudFront i API Gateway; klucz prywatny pozostaje chroniony.
• Certyfikaty CloudFront muszą znajdować się w regionie us-east-1, a korzystanie z TLS nadal trzeba wymuszać.