TLS-certifikat med AWS Certificate Manager

Kryptering under överföring skyddar data när den färdas över nätverk med hjälp av TLS (Transport Layer Security), protokollet bakom HTTPS.

Utan detta kan angripare längs överföringsvägen läsa eller manipulera trafiken. TLS kräver certifikat, och det är här ACM kommer in.

AWS Certificate Manager (ACM) utfärdar, hanterar och förnyar TLS-certifikat för AWS-tjänster.

• Publika certifikat från ACM är kostnadsfria.
• ACM hanterar förnyelsen automatiskt, vilket undanröjer risken för utgångna certifikat.

För att utfärda ett publikt certifikat måste ACM verifiera att du kontrollerar domänen.

• DNS-validering lägger till en CNAME-post (rekommenderas och möjliggör automatisk förnyelse).
• E-postvalidering skickar en bekräftelse till domänens kontaktpersoner.

DNS-validering rekommenderas för förnyelse utan manuella steg.

ACM integreras med AWS-tjänster som avslutar TLS-anslutningar, bland annat:

• Application Load Balancers och Network Load Balancers.
• CloudFront-distributioner.
• API Gateway.

Du kopplar certifikatet till lyssnaren; tjänsten hanterar TLS-handskakningen.

För ACM-utfärdade certifikat som används av integrerade tjänster hanteras den privata nyckeln av ACM och exponeras aldrig.

Du kan inte ladda ned den, vilket är en säkerhetsfördel: det finns ingen nyckelfil som kan läcka. Certifikatet fungerar helt enkelt med den tjänst som stöds.

ACM förnyar hanterade certifikat automatiskt innan de löper ut, så länge valideringen finns kvar (DNS-posterna finns kvar).

Detta eliminerar avbrott som orsakas av bortglömda certifikatförnyelser, ett klassiskt driftsfel. E-postvaliderade certifikat kan kräva manuella steg.

AWS Private CA (Certificate Authority) utfärdar privata certifikat för intern användning.

Använd det för mTLS mellan tjänster, interna API:er och enheter som ska lita på din egen CA i stället för en publik. Det är en betaltjänst för interna PKI-behov.

Du kan importera certifikat från tredje part till ACM för användning med integrerade tjänster.

Importerade certifikat förnyas dock inte automatiskt; du måste importera dem igen innan de löper ut. ACM-utfärdade certifikat är om möjligt att föredra tack vare den automatiserade förnyelsen.

ACM har regionala detaljer som är värda att komma ihåg:

• Certifikat för CloudFront måste begäras i us-east-1.
• Certifikat för regionala resurser (ALB) finns i resursens region.

Denna regionala regel är en vanlig detalj på prov.

När du kopplar ett certifikat till en lastbalanserare eller CloudFront väljer du även en säkerhetspolicy som definierar tillåtna TLS-versioner och chiffer.

Moderna policyer kräver TLS 1.2 eller senare och tar bort svaga chiffer. Genom att välja en stark policy hindrar du klienter från att förhandla fram föråldrad och sårbar kryptering även när ett giltigt certifikat finns.

Utöver att tillhandahålla certifikat ska du framtvinga att trafiken använder TLS.

• Omdirigera HTTP till HTTPS på lastbalanserare och CloudFront.
• Använd bucket policies (aws:SecureTransport) för att neka S3-åtkomst utan TLS.

Det räcker inte att utfärda ett certifikat; användningen måste krävas.

Du har lärt dig om ACM och TLS.

• ACM utfärdar och förnyar automatiskt kostnadsfria publika TLS-certifikat.
• Koppla dem till ALB, CloudFront och API Gateway; den privata nyckeln förblir skyddad.
• CloudFront-certifikat måste finnas i us-east-1, och du måste fortfarande framtvinga användning av TLS.