Сертификаты TLS с AWS Certificate Manager

Шифрование при передаче защищает данные во время перемещения по сетям с помощью TLS (Transport Layer Security) — протокола, лежащего в основе HTTPS.

Без него злоумышленники, перехватившие трафик, могут прочитать или изменить его. Для TLS нужны сертификаты, а управлением ими занимается ACM.

AWS Certificate Manager (центр сертификации) выпускает, управляет и обновляет сертификаты TLS для сервисов AWS.

• Публичные сертификаты ACM предоставляются бесплатно.
• ACM автоматически выполняет продление, устраняя риск истечения срока действия сертификатов.

Чтобы выпустить публичный сертификат, ACM должен подтвердить, что вы управляете доменом.

• Проверка через DNS добавляет запись CNAME (предпочтительный вариант, поддерживает автоматическое продление).
• Проверка по электронной почте отправляет подтверждение контактам домена.

Для автоматического продления без ручных действий рекомендуется проверка через DNS.

ACM интегрируется с сервисами AWS, которые завершают TLS-соединения, включая:

• балансировщики нагрузки приложений и сетевые балансировщики.
• дистрибутивы CloudFront.
• API Gateway.

Вы прикрепляете сертификат к прослушивателю, а сервис выполняет рукопожатие TLS.

Для сертификатов, выпущенных ACM и используемых интегрированными сервисами, закрытым ключом управляет ACM, и он никогда не раскрывается.

Вы не можете скачать его, что повышает безопасность: отсутствует файл ключа, который можно случайно раскрыть. Сертификат просто работает с поддерживаемым сервисом.

ACM автоматически продлевает управляемые сертификаты до истечения срока их действия, пока сохраняется проверка (присутствуют записи DNS).

Это устраняет сбои, вызванные забытым продлением сертификатов, — типичную операционную проблему. Для сертификатов, проверенных по электронной почте, могут потребоваться ручные действия.

AWS Private CA (центр сертификации) выпускает частные сертификаты для внутреннего использования.

Используйте его для mTLS между сервисами, внутренних API и устройств, которые должны доверять вашему собственному центру сертификации, а не публичному. Это платный сервис для внутренних потребностей PKI.

Вы можете импортировать сторонние сертификаты в ACM для использования с интегрированными сервисами.

Однако импортированные сертификаты не продлеваются автоматически; перед истечением срока действия их необходимо импортировать повторно. По возможности предпочтительнее сертификаты, выпущенные ACM, поскольку для них доступна автоматизация продления.

У ACM есть несколько особенностей, связанных с регионами:

• Сертификаты для CloudFront необходимо запрашивать в us-east-1.
• Сертификаты для региональных ресурсов (ALB) находятся в регионе соответствующего ресурса.

Это правило регионов часто проверяется на экзамене.

При прикреплении сертификата к балансировщику нагрузки или CloudFront вы также выбираете политику безопасности, которая определяет разрешённые версии TLS и шифры.

Современные политики требуют TLS 1.2 или более новой версии и исключают слабые шифры. Выбор надёжной политики не позволяет клиентам согласовать устаревшее и уязвимое шифрование, даже если действующий сертификат присутствует.

Помимо предоставления сертификатов, необходимо обеспечить, чтобы трафик использовал TLS.

• Перенаправляйте HTTP на HTTPS на балансировщиках нагрузки и в CloudFront.
• Используйте политики бакетов (aws:SecureTransport), чтобы запрещать доступ к S3 без TLS.

Одного выпуска сертификата недостаточно: использование TLS должно быть обязательным.

Вспомните важную особенность ACM.

Вы узнали об ACM и TLS.

• ACM выпускает и автоматически продлевает бесплатные публичные сертификаты TLS.
• Прикрепляйте их к ALB, CloudFront и API Gateway; закрытый ключ остаётся защищённым.
• Сертификаты CloudFront должны находиться в us-east-1, а использование TLS всё равно необходимо обеспечивать отдельно.