Certificados TLS com o AWS Certificate Manager

A criptografia em trânsito protege os dados enquanto eles percorrem as redes usando TLS (Transport Layer Security), o protocolo por trás do HTTPS.

Sem ela, invasores no caminho poderiam ler ou adulterar o tráfego. O TLS exige certificados, e é nesse ponto que o ACM entra.

O AWS Certificate Manager (ACM) provisiona, gerencia e renova certificados TLS para serviços da AWS.

• Os certificados públicos do ACM são gratuitos.
• O ACM gerencia a renovação automaticamente, eliminando o risco de certificados expirados.

Para emitir um certificado público, o ACM precisa verificar se você controla o domínio.

• A validação por DNS adiciona um registro CNAME (é a opção preferida e permite a renovação automática).
• A validação por e-mail envia uma confirmação aos contatos do domínio.

A validação por DNS é recomendada para uma renovação sem intervenção manual.

O ACM integra-se a serviços da AWS que encerram conexões TLS, incluindo:

• Application Load Balancers e Network Load Balancers.
• Distribuições do CloudFront.
• API Gateway.

Você associa o certificado ao listener; o serviço gerencia o handshake do TLS.

Para certificados emitidos pelo ACM e usados por serviços integrados, a chave privada é gerenciada pelo ACM e nunca é exposta.

Você não pode baixá-la, o que é uma vantagem de segurança: não existe um arquivo de chave que possa vazar. O certificado simplesmente funciona com o serviço compatível.

O ACM renova automaticamente os certificados gerenciados antes que expirem, desde que a validação continue configurada (com os registros DNS presentes).

Isso elimina indisponibilidades causadas por renovações de certificados esquecidas, uma falha operacional clássica. Certificados validados por e-mail podem exigir etapas manuais.

A AWS Private CA (Autoridade de Certificação) emite certificados privados para uso interno.

Use-a para mTLS entre serviços, APIs internas e dispositivos que devem confiar na sua própria CA, e não em uma CA pública. É um serviço pago para necessidades internas de PKI.

Você pode importar certificados de terceiros para o ACM e usá-los com serviços integrados.

No entanto, certificados importados não são renovados automaticamente; você precisa importá-los novamente antes da expiração. Quando possível, os certificados emitidos nativamente pelo ACM são preferíveis pela automação da renovação.

O ACM tem particularidades regionais que vale a pena lembrar:

• Certificados para o CloudFront devem ser solicitados em us-east-1.
• Certificados para recursos regionais (ALB) ficam na região desse recurso.

Essa regra de região é um detalhe comum em provas.

Ao associar um certificado a um balanceador de carga ou ao CloudFront, você também escolhe uma política de segurança que define as versões do TLS e as cifras permitidas.

As políticas modernas exigem TLS 1.2 ou superior e eliminam cifras fracas. Escolher uma política forte impede que os clientes negociem uma criptografia desatualizada e vulnerável, mesmo quando existe um certificado válido.

Além de fornecer certificados, imponha que o tráfego use TLS.

• Redirecione HTTP para HTTPS nos balanceadores de carga e no CloudFront.
• Use políticas de bucket (aws:SecureTransport) para negar acesso ao S3 sem TLS.

Emitir um certificado não é suficiente; seu uso precisa ser obrigatório.

Relembre um detalhe do ACM.

Você aprendeu sobre o ACM e o TLS.

• O ACM provisiona e renova automaticamente certificados TLS públicos gratuitos.
• Associe-os ao ALB, ao CloudFront e ao API Gateway; a chave privada permanece protegida.
• Os certificados do CloudFront devem estar em us-east-1, e você ainda precisa impor o uso do TLS.