AWS Certificate Manager ile TLS Sertifikaları

İletim sırasında şifreleme, HTTPS'nin temelindeki protokol olan TLS (Taşıma Katmanı Güvenliği) kullanılarak ağlar arasında hareket eden verileri korur.

Bu olmadığında, yol üzerindeki saldırganlar trafiği okuyabilir veya değiştirebilir. TLS sertifikalar gerektirir ve ACM bu sertifikaların yönetiminde devreye girer.

AWS Sertifika Yöneticisi (ACM), AWS hizmetleri için TLS sertifikalarını sağlar, yönetir ve yeniler.

• ACM'den alınan genel sertifikalar ücretsizdir.
• ACM yenileme işlemini otomatik olarak yönetir ve süresi dolmuş sertifika riskini ortadan kaldırır.

Genel bir sertifika vermek için ACM, alan adını sizin yönettiğinizi doğrulamalıdır.

• DNS doğrulaması, bir CNAME kaydı ekler (tercih edilir ve otomatik yenilemeyi etkinleştirir).
• E-posta doğrulaması, alan adı yetkililerine bir onay gönderir.

Elle müdahale gerektirmeyen yenileme için DNS doğrulaması önerilir.

ACM, aşağıdakiler de dâhil olmak üzere TLS'yi sonlandıran AWS hizmetleriyle tümleşir:

• Uygulama ve Ağ Yük Dengeleyicileri.
• CloudFront dağıtımları.
• API Gateway.

Sertifikayı dinleyiciye bağlarsınız; TLS el sıkışmasını hizmet yönetir.

Tümleşik hizmetler tarafından kullanılan ACM kaynaklı sertifikalarda özel anahtar ACM tarafından yönetilir ve hiçbir zaman açığa çıkarılmaz.

Anahtarı indiremezsiniz; bu bir güvenlik avantajıdır, çünkü sızabilecek bir anahtar dosyası yoktur. Sertifika, desteklenen hizmetle basitçe çalışır.

ACM, doğrulama sürdüğü sürece (DNS kayıtları mevcut olduğu sürece) yönetilen sertifikaları süreleri dolmadan önce otomatik olarak yeniler.

Bu, sertifika yenilemelerinin unutulmasından kaynaklanan kesintileri, yani klasik bir operasyonel hatayı ortadan kaldırır. E-posta ile doğrulanan sertifikalar elle yapılacak işlemler gerektirebilir.

AWS Özel CA'sı (Sertifika Yetkilisi), dahili kullanım için özel sertifikalar verir.

Bunu hizmetler arası mTLS, dahili API'ler ve genel bir CA yerine kendi CA'nıza güvenmesi gereken cihazlar için kullanın. Bu, dahili PKI gereksinimleri için ücretli bir hizmettir.

Tümleşik hizmetlerle kullanmak üzere üçüncü taraf sertifikalarını ACM'ye aktarabilirsiniz.

Ancak içe aktarılan sertifikalar otomatik olarak yenilenmez; süreleri dolmadan önce yeniden içe aktarmanız gerekir. Yenileme otomasyonu için mümkün olduğunda yerel ACM sertifikaları tercih edilir.

ACM'nin hatırlamaya değer bölgeye özgü ayrıntıları vardır:

• CloudFront sertifikaları us-east-1 bölgesinde istenmelidir.
• Bölgesel kaynaklara (ALB) ait sertifikalar, ilgili kaynağın bulunduğu bölgede yer alır.

Bu bölge kuralı, sınavlarda sık sorulan bir ayrıntıdır.

Bir yük dengeleyiciye veya CloudFront'a sertifika bağlarken, izin verilen TLS sürümlerini ve şifreleme algoritmalarını tanımlayan bir güvenlik ilkesi de seçersiniz.

Modern ilkeler TLS 1.2 veya daha üstünü gerektirir ve zayıf şifreleme algoritmalarını kaldırır. Güçlü bir ilke seçmek, geçerli bir sertifika olsa bile istemcilerin eski ve güvenlik açığı bulunan şifrelemeyi anlaşmasını önler.

Sertifika sağlamanın ötesine geçerek trafiğin TLS kullanmasını zorunlu kılın.

• Yük dengeleyicilerde ve CloudFront'ta HTTP'yi HTTPS'ye yönlendirin.
• TLS dışı S3 erişimini reddetmek için kova ilkelerini (aws:SecureTransport) kullanın.

Sertifika vermek yeterli değildir; kullanım zorunlu tutulmalıdır.

ACM ile ilgili bir ayrıntıyı hatırlayın.

ACM ve TLS hakkında bilgi edindiniz.

• ACM, ücretsiz genel TLS sertifikalarını sağlar ve otomatik olarak yeniler.
• Bunları ALB, CloudFront ve API Gateway'e bağlayın; özel anahtar korumalı kalır.
• CloudFront sertifikaları us-east-1 bölgesinde bulunmalı ve TLS kullanımını yine de zorunlu kılmalısınız.