Что такое Менеджер сертификатов AWS?

Менеджер сертификатов AWS (ACM) – это сервис, позволяющий легко предоставлять и развертывать публичные и частные сертификаты уровня защищенных сокетов / безопасности транспортного уровня (SSL/TLS) для использования вместе с сервисами AWS или внутренними подключенными ресурсами, а также помогающий управлять этими сертификатами. Сертификаты SSL/TLS используются для защиты сетевых подключений и установления подлинности веб-сайтов в Интернете, а также ресурсов в частных сетях. Сервис ACM избавляет от необходимости тратить время на покупку, загрузку и обновление сертификатов SSL/TLS вручную. Благодаря Менеджеру сертификатов AWS можно быстро запросить сертификат, выполнить его развертывание с помощью таких ресурсов AWS, как балансировщики нагрузки сервиса Эластичная балансировка нагрузки, базы раздачи Amazon CloudFront или API в API шлюзе Amazon, а также позволить сервису ACM выполнять обновление сертификатов. Этот сервис позволяет также создавать частные сертификаты для внутренних ресурсов и централизованно управлять жизненным циклом сертификатов. Публичные и частные сертификаты SSL/TLS, которые предоставляются с помощью ACM и используются только для интегрированных с ACM сервисов (например, Elastic Load Balancing, Amazon CloudFront, Amazon API Gateway), являются бесплатными. Оплате подлежат ресурсы AWS, которые используются для запуска приложений. Вы ежемесячно оплачиваете работу каждого частного центра сертификации до его удаления, а также выпущенные сертификаты, которые применяются не только для интегрированных с ACM сервисов .

Что такое сертификат SSL/TLS?

Сертификаты SSL/TLS позволяют браузерам проверять подлинность веб-сайтов и устанавливать с ними зашифрованные сетевые соединения с использованием протокола Secure Sockets Layer/Transport Layer Security (SSL/TLS). Сертификаты используются в рамках криптографической системы, известной как инфраструктура открытого ключа (PKI). PKI дает одной стороне возможность устанавливать подлинность другой стороны с помощью сертификатов (при условии, что обе стороны доверяют третьей стороне, известной как центр сертификации). Чтобы получить дополнительную информацию, см. этот раздел Руководства пользователя ACM.

Что такое частные сертификаты?

Частные сертификаты идентифицируют ресурсы внутри организации (например, приложения, сервисы, устройства и пользователей). При установлении защищенного зашифрованного канала связи каждый адрес использует сертификат и криптографические методы, чтобы подтвердить свою подлинность другому адресу. Внутренние адреса API, веб-серверы, пользователи VPN, устройства IoT и многие другие приложения используют частные сертификаты для создания зашифрованных каналов связи, которые необходимы для безопасной работы.

В чем разница между публичными и частными сертификатами?

Публичные и частные сертификаты помогают клиентам определять ресурсы в сетях и устанавливать защищенное соединение между этими ресурсами. Публичные сертификаты определяют ресурсы в общедоступном Интернете, а частные сертификаты – в частных сетях. Ключевое отличие состоит в том, что по умолчанию приложения и браузеры автоматически доверяют публичным сертификатам, а для доверия частным сертификатам администратору нужно явно настроить приложения. Публичные центры сертификации (организации, выдающие публичные сертификаты) должны выполнять строгие правила, обеспечивать прозрачность рабочих процессов, а также соответствовать стандартам безопасности со стороны поставщиков браузера и операционной системы, которые определяют, какому центру сертификации их браузеры и операционные системы должны доверять автоматически. Частные центры сертификации находятся под управлением частных организаций. Администраторы частных центров сертификации могут задавать собственные правила для выдачи частных сертификатов, в том числе устанавливать порядок выдачи сертификатов и определять, какую информацию должен содержать сертификат.

Какие преимущества дает использование Менеджера сертификатов AWS (ACM)?

ACM упрощает использование протоколов SSL/TLS для веб-сайтов и приложений, работающих на платформе AWS. ACM устраняет необходимость в ряде ручных операций, связанных с использованием протоколов и управлением сертификатами SSL/TLS. ACM управляет обновлением сертификатов, что позволяет избежать простоев из-за неправильно настроенных, отозванных или просроченных сертификатов. Сервис обеспечивает защиту сетевых соединений с помощью протоколов SSL/TLS и простоту управления сертификатами. Использование протоколов SSL/TLS для сайтов с выходом в Интернет помогает улучшать ранжирование сайта в поисковых системах и обеспечивать соответствие нормативным требованиям в отношении шифрования данных при передаче. При хранении и защите закрытых ключей сертификата сервис ACM для управления сертификатами использует криптостойкие алгоритмы шифрования и рекомендации по управлению ключами. ACM позволяет централизованно управлять всеми сертификатами SSL/TLS, выпущенными Менеджером сертификатов AWS в регионе AWS, с помощью Консоли управления AWS, интерфейса командной строки AWS или API сервиса ACM. ACM интегрирован с другими сервисами AWS, что позволяет запрашивать сертификаты SSL/TLS и выполнять их развертывание в балансировщике нагрузки Elastic Load Balancing или базе раздачи Amazon CloudFront с помощью Консоли управления AWS, команд в интерфейсе командной строки AWS или вызовов API.

Какими типами сертификатов можно управлять с помощью ACM?

ACM позволяет управлять жизненным циклом публичных и частных сертификатов. Возможности ACM зависят от типа сертификата (публичный или частный), способа получения сертификата и места его развертывания. Публичные сертификаты : вы можете запросить выпущенные Amazon публичные сертификаты в ACM. ACM управляет обновлением и развертыванием публичных сертификатов, которые используются для интегрированных с ACM сервисов, в том числе Amazon CloudFront, Эластичная балансировка нагрузки и API шлюз Amazon. Частные сертификаты : можно делегировать управление частными сертификатами ACM. В этом случае ACM может автоматически обновлять и развертывать частные сертификаты, которые используются для интегрированных с ACM сервисов, в том числе Amazon CloudFront, Elastic Load Balancing и Amazon API Gateway. Эти частные сертификаты можно просто развертывать с помощью Консоли управления AWS, API или интерфейса командной строки (CLI). Можно экспортировать частные сертификаты из ACM и использовать их с инстансами EC2, контейнерами, локальными серверами и устройствами IoT. Частный ЦС AWS автоматически обновляет эти сертификаты и после завершения обновления отправляет уведомление Amazon CloudWatch. Для загрузки обновленных сертификатов и закрытых ключей, а также их развертывания с помощью приложения можно создать код на стороне клиента. Импортированные сертификаты : если вы хотите использовать с Amazon CloudFront, Elastic Load Balancing или Amazon API Gateway сторонний сертификат, его можно импортировать в ACM с помощью Консоли управления AWS, интерфейса командной строки AWS или API ACM. ACM не имеет возможности обновлять импортированные сертификаты, но может вам помочь в управлении процессом обновления. Вы самостоятельно следите за сроком действия импортированных сертификатов и обеспечиваете их обновление до истечения этого срока. С помощью Метрик ACM CloudWatch можно отслеживать окончание срока действия импортированных сертификатов и импортировать новые сторонние сертификаты взамен тех, срок действия которых истек.

Как начать работу с ACM?

Чтобы начать работу с ACM, перейдите к этому сервису в Консоли управления AWS и с помощью соответствующего мастера запросите сертификат SSL/TLS. Если вы уже создали частный ЦС, выберите тип сертификата – публичный или частный, а затем введите название своего сайта. Можно также запросить сертификат, используя интерфейс командной строки или API AWS. После выдачи сертификата его можно использовать в других сервисах AWS, интегрированных с ACM. Для каждого интегрированного сервиса требуется просто выбрать соответствующий сертификат SSL/TLS из раскрывающегося списка в Консоли управления AWS. Кроме того, связать сертификат с ресурсом можно с помощью команды интерфейса командной строки или вызова API AWS. После этого интегрированный сервис развертывает сертификат в выбранном вами ресурсе. Подробнее об использовании сертификатов, предоставляемых ACM, и об отправке запросов о них см. в Руководстве пользователя ACM . Кроме использования частных сертификатов в интегрированных с ACM сервисах их можно экспортировать для использования на инстансах EC2, контейнерах ECS или в любых других средах.

С какими сервисами AWS можно использовать сертификаты ACM?

• Эластичная балансировка нагрузки – см. документацию о сервисе Эластичной балансировки нагрузки • Amazon CloudFront – см. документацию о CloudFront • API шлюз Amazon – см. документацию об API шлюзе • AWS CloudFormation – в настоящее время можно использовать только публичные и частные сертификаты, выпущенные ACM; см. документацию об AWS CloudFormation • AWS Elastic Beanstalk – см. документацию об AWS Elastic Beanstalk • AWS Nitro Enclaves – см. документацию об AWS Nitro Enclaves

В каких регионах доступен сервис ACM?

Актуальные сведения о доступности сервисов AWS по регионам см. на страницах с информацией о глобальной инфраструктуре AWS . Чтобы использовать сертификат ACM с сервисом Amazon CloudFront, необходимо запросить сертификат в регионе Восток США (Северная Вирджиния) или импортировать его в этот регион. Сертификаты ACM в этом регионе, связанные с базой раздачи CloudFront, распространяются на все географические местоположения, указанные в настройках этой базы раздачи.

Какими типами сертификатов управляет ACM?

ACM управляет публичными, частными и импортированными сертификатами. Подробнее о возможностях ACM см. в документации по выпуску сертификатов и управлению ими .

Может ли ACM предоставлять сертификаты для нескольких доменных имен?

Да. Каждый сертификат должен включать хотя бы одно доменное имя, при желании в сертификат можно включать дополнительные доменные имена. Например, можно добавить имя www.example.net в сертификат для доменного имени www.example.com, если пользователи могут обращаться к вашему сайту, используя любое из этих доменных имен. Вы должны быть собственником имен или управлять всеми именами, включенными в запрос сертификата.

Что такое доменное имя с шаблоном подстановки?

Доменное имя с шаблоном подстановки подходит для любого поддомена верхнего (третьего и далее) уровня или имени узла домена. Поддомен верхнего уровня – это имя домена, состоящее из одной метки и не содержащее точки. Например, можно использовать имя *.example.com для защиты www.example.com, images.example.com и любого другого имени узла или поддомена третьего уровня, оканчивающегося на .example.com. Подробнее см. в Руководстве пользователя ACM .

Каков срок действия сертификатов ACM?

Сертификаты, выпущенные сервисом ACM, действительны в течение 13 месяцев (395 дней). Если выпускать частные сертификаты напрямую из частного ЦС и управлять ключами и сертификатами без использования ACM, для них можно задать любой срок действия, в том числе абсолютную дату истечения или период в днях, месяцах или годах от текущего времени.

Какие алгоритмы используются в сертификатах, которые предоставляет ACM?

По умолчанию в сертификатах, выпущенных в ACM, используются ключи RSA с 2048-разрядным модулем и SHA-256. Кроме того, вы можете запросить сертификаты с использованием алгоритма цифровой подписи на эллиптических кривых (ECDSA) с P-256 или P-384. Подробнее об алгоритмах см. в Руководстве пользователя ACM .

Как отозвать сертификат?

Чтобы запросить у сервиса ACM отзыв публичного сертификата, перейдите в Центр Поддержки AWS и создайте соответствующую заявку. Как отозвать частный сертификат, выданный частным ЦС AWS, см. в Руководстве пользователя частного ЦС AWS .

Можно ли использовать один и тот же сертификат ACM в нескольких регионах AWS?

Нет. Сертификаты ACM должны находиться в том же регионе, что и ресурс, для которого они используются. Единственное исключение – Amazon CloudFront, глобальный сервис, требующий хранения сертификатов в регионе Восток США (Северная Вирджиния). Сертификаты ACM в этом регионе, связанные с базой раздачи CloudFront, распространяются на все географические местоположения, указанные в настройках этой базы раздачи.

Можно ли использовать сертификаты на инстансах Amazon EC2 или на собственных серверах?

Частные сертификаты частного ЦС можно использовать с инстансами EC2, контейнерами и собственными серверами. В настоящее время публичные сертификаты ACM можно использовать только с определенными сервисами AWS, включая AWS Nitro Enclaves. См. интеграции сервисов AWS .

Допускает ли ACM применение так называемых интернационализированных доменных имен (то есть символов национальных алфавитов в доменных именах)?

ACM не поддерживает символы национальных алфавитов в кодировке Unicode; при этом в доменных именах могут применяться символы национальных алфавитов в кодировке ASCII.

Какие форматы доменных меток разрешает использовать ACM?

ACM разрешает использование только символов ASCII в кодировке UTF-8, включая метки, содержащие префикс «xn--», который применяется для преобразования доменных имен в кодировку Punycode. ACM не принимает для доменных имен метки в формате Unicode.

Можно ли импортировать и использовать в AWS сертификат стороннего центра сертификации?

Да. Если вы хотите использовать с Amazon CloudFront, Elastic Load Balancing или Amazon API Gateway сторонний сертификат, его можно импортировать в ACM с помощью Консоли управления AWS, интерфейса командной строки AWS или API ACM. ACM не управляет процессом обновления импортированных сертификатов. Консоль управления AWS можно использовать для мониторинга окончания срока действия импортированных сертификатов и для импорта новых сторонних сертификатов взамен сертификатов с истекшим сроком действия.

Что такое публичные сертификаты?

Публичные и частные сертификаты помогают клиентам определять ресурсы в сетях и устанавливать защищенное соединение между этими ресурсами. Публичные сертификаты идентифицируют ресурсы в Интернете.

Какой тип публичных сертификатов предоставляет ACM?

ACM предоставляет публичные сертификаты валидации домена (DV-сертификаты) для использования с веб-сайтами и приложениями, выполняющими терминацию SSL/TLS. Подробную информацию о сертификатах ACM см. в разделе Характеристики сертификатов .

Доверяют ли браузеры, операционные системы и мобильные устройства публичным сертификатам ACM?

Публичным сертификатам ACM доверяет большинство современных браузеров, операционных систем и мобильных устройств. Сертификаты, предоставляемые сервисом ACM, поддерживаются в 99 % распространенных браузеров и операционных систем, включая Windows XP SP3 и Java версии 6 и выше.

Как можно удостовериться в том, что мой браузер доверяет публичным сертификатам ACM?

В некоторых браузерах, которые доверяют сертификатам ACM, отображается значок замка и не появляются предупреждения о проблемах с сертификатом при подключении к сайтам, использующим сертификаты ACM для подключений SSL/TLS (например, по протоколу HTTPS). Публичные сертификаты ACM подтверждены центром сертификации Amazon. Любой браузер, приложение или ОС, в доверенный список которых входят центры сертификации Amazon Root CA 1, Amazon Root CA 2, Amazon Root CA 3, Amazon Root CA 4, Starfield Services Root Certificate Authority – G2, доверяет сертификатам ACM. Подробнее о корневых центрах сертификации см. в репозитории Amazon Trust Services .

Где описаны политики и практики Amazon по выпуску публичных сертификатов?

Все описания приводятся в Положении о сертификационной политике и Положении о сертификационной практике компании Amazon Trust Services. Последние версии этих документов см. в репозитории Amazon Trust Services .

Будет ли сертификат для ресурса www.example.com работать также и для ресурса example.com?

Нет. Чтобы сайт был доступен через оба доменных имени (www.example.com и example.com), необходимо запросить сертификат, включающий оба имени.

Как ACM может помочь моей организации в соблюдении требований?

Использование ACM помогает обеспечить соответствие нормативным требованиям, упрощая процессы установления безопасных соединений, которые входят в типовые требования многих стандартов (например, PCI, FedRAMP и HIPAA). Подробную информацию по вопросам соответствия требованиям см. в разделе http://aws.amazon.com/compliance.

Предусмотрено ли в сервисе ACM соглашение об уровне обслуживания (SLA)?

Нет. ACM не предусматривает SLA.

Предоставляет ли ACM знак сертификата защищенности или логотип доверия, которые я могу отобразить на моем веб‑сайте?

Нет. Если вы хотите использовать на сайте печать безопасности, можете получить ее у стороннего поставщика. Мы рекомендуем обратиться к поставщику, который может оценить и подтвердить безопасность вашего сайта или вашу деловую практику, или и то и другое.

Разрешает ли Amazon использовать ее товарные знаки или логотип в качестве значка сертификации, печати безопасности или логотипа доверия?

Нет. Печати и значки этого типа могут быть скопированы на сайты, не использующие сервис ACM, и могут использоваться ненадлежащим способом, чтобы обманным путем вызвать доверие. В целях защиты наших клиентов и репутации компании Amazon мы не разрешаем использовать наш логотип подобным образом.

Как создать публичный сертификат в сервисе ACM?

Вы можете использовать Консоль управления AWS, интерфейсы командной строки AWS, а также API или SDK ACM. При использовании Консоли управления AWS перейдите к разделу «Certificate Manager», выберите пункт «Request a certificate» (Запросить сертификат), выберите пункт «Request a public certificate» (Запросить публичный сертификат), введите доменное имя сайта и завершите формирование запроса, следуя инструкциям на экране. Если для доступа к сайту пользователи могут использовать другие доменные имена, можно включить в запрос эти дополнительные имена. Прежде чем ACM сможет выдать сертификат, он проверит, действительно ли вы владеете / управляете доменными именами, указанными в запросе на сертификат. Во время запроса сертификата можно выбрать проверку с помощью записи DNS или с помощью электронной почты. При проверке с помощью записи DNS требуется добавить запись в публичную конфигурацию DNS для своего домена, чтобы подтвердить, что вы владеете доменом или управляете им. После однократной проверки управления доменом с помощью записи DNS можно получить дополнительные сертификаты, и ACM может обновлять существующие сертификаты для домена, пока запись будет присутствовать, а сертификат – использоваться. Повторная проверка управления доменом не потребуется. Если выбрать проверку с помощью электронной почты вместо проверки с помощью записи DNS, владельцу домена будут отправлены электронные письма с запросом подтверждения на выдачу сертификата. После подтверждения права владения или возможности управления для каждого доменного имени, указанного в запросе, сертификат будет выдан и готов к использованию с другими сервисами AWS, например Elastic Load Balancing или Amazon CloudFront. Подробности см. в документации об ACM .

Почему ACM проверяет право владения доменом для публичных сертификатов?

Сертификаты используются для установления подлинности веб-сайта и безопасного соединения между браузерами и приложениями или сайтом. Для выдачи публичного доверенного сертификата Amazon должен убедиться, что сторона, запросившая сертификат, управляет доменным именем, указанным в запросе.

Каким образом ACM проверяет право владения доменом перед выдачей для него публичного сертификата?

Перед выдачей сертификата ACM проверяет, действительно ли вы владеете или управляете доменными именами, указанными в запросе на сертификат. Во время запроса сертификата можно выбрать проверку с помощью записи DNS или с помощью электронной почты. При проверке с помощью записи DNS можно подтвердить право владения доменом, добавив запись CNAME в конфигурацию DNS. Подробнее см. в разделе о проверке с помощью записи DNS . Если у вас нет возможности добавлять записи в публичную конфигурацию DNS указанного домена, вы можете использовать вместо проверки с помощью записи DNS проверку с помощью электронной почты. При проверке с помощью электронной почты ACM отправляет электронные письма зарегистрированному владельцу домена, а владелец или его уполномоченный представитель может подтвердить выпуск сертификата для каждого доменного имени, указанного в запросе на сертификат. Подробнее см. в разделе о проверке с помощью электронной почты .

Какой метод проверки для публичного сертификата следует использовать: с помощью записи DNS или электронной почты?

Если у вас есть возможность изменить конфигурацию DNS для указанного домена, рекомендуется использовать проверку с помощью записи DNS. Для клиентов, которые не могут получить проверочные письма от ACM по электронной почте или у которых регистратор домена не публикует контактную информацию с адресом электронной почты владельца домена в WHOIS, проверка с помощью записи DNS является обязательной. Если вы не можете изменить свою конфигурацию DNS, следует использовать проверку с помощью электронной почты.

Можно ли для существующего публичного сертификата изменить способ проверки посредством электронной почты на способ, где используются записи DNS?

Нет. Однако можно запросить в ACM новый бесплатный сертификат и выбрать для нового сертификата проверку с помощью записи DNS.

Сколько времени занимает выпуск публичного сертификата?

Для выдачи сертификата после проверки всех доменных имен, указанных в запросе на сертификат, может потребоваться несколько часов.

Что происходит при запросе публичного сертификата?

ACM пытается проверить право владения или возможность управления для каждого доменного имени, указанного в запросе на сертификат, в соответствии с выбранным во время запроса методом проверки (с помощью записи DNS или с помощью электронной почты). Пока ACM проверяет, действительно ли вы владеете или управляете доменом, запрос сертификата будет иметь статус «Pending validation» (Ожидает проверки). Подробнее о процессе проверки см. ниже в разделах о проверке с помощью записи DNS и проверке с помощью электронной почты . После проверки всех доменных имен, указанных в запросе на сертификат, для выдачи сертификата может потребоваться несколько часов. После выдачи сертификата статус запроса сертификата изменяется на «Issued» (Выпущен), а сам сертификат можно использовать для других сервисов AWS, интегрированных с ACM.

Проверяет ли ACM записи авторизации центра сертификации (CAA) перед выпуском публичных сертификатов?

Да. Записи авторизации центра сертификации (CAA) позволяют владельцам доменов указывать, какие органы сертификации уполномочены выдавать сертификаты для их доменов. При запросе сертификата ACM AWS Certificate Manager ищет запись CAA в конфигурации зоны DNS для соответствующего домена. Если запись CAA отсутствует, сертификат для домена может выдать Amazon. Большинство клиентов относятся к этой категории. Если конфигурация DNS содержит запись CAA, для выдачи домену сертификата Amazon в ней должен быть указан один из следующих центров сертификации: amazon.com, amazontrust.com, awstrust.com или amazonaws.com. Подробные сведения см. в разделе о настройках записи CAA или устранении проблем с CAA Руководства пользователя Менеджера сертификатов AWS.

Поддерживает ли ACM другие способы проверки домена?

В настоящий момент нет.

Что такое проверка с помощью записи DNS?

При проверке с помощью записи DNS можно подтвердить право владения доменом, добавив в конфигурацию DNS запись CNAME. Проверка с помощью записи DNS позволяет при запросе публичных сертификатов SSL/TLS из ACM легко подтвердить, что вы являетесь владельцем домена.

Каковы преимущества использования проверки с помощью записи DNS?

Проверка с помощью записи DNS позволяет легко подтвердить, что вы владеете или управляете доменом, для получения сертификата SSL/TLS. При проверке с помощью записи DNS, чтобы подтвердить возможность управления своим доменным именем, достаточно внести в конфигурацию DNS запись CNAME. Для упрощения процесса проверки с помощью записи DNS консоль управления ACM может автоматически настроить записи DNS, если для управления ими используется сервис Amazon Route 53. Таким образом, подтвердить управление доменным именем можно за несколько щелчков мышью. После настройки записи CNAME сервис ACM будет автоматически обновлять используемые сертификаты (связанные с другими ресурсами AWS), пока присутствует проверочная запись DNS. Обновление выполняется автоматически и не требует вмешательства пользователя.

Кому рекомендуется использовать проверку с помощью записи DNS?

Возможность использования проверки с помощью записи DNS следует рассмотреть всем, кто запрашивает сертификат через ACM и может изменять конфигурацию DNS для запрашиваемого домена.

Продолжает ли ACM поддерживать проверку с помощью электронной почты?

Да. ACM продолжает поддерживать проверку с помощью электронной почты для клиентов, которые не могут изменить конфигурацию DNS.

Какие записи необходимо добавить в мою конфигурацию DNS для проверки домена?

Необходимо добавить запись CNAME для домена, который требуется проверить. Например, чтобы проверить имя www.example.com, добавьте запись CNAME в зону для example.com. Добавленная запись содержит уникальный токен, который ACM генерирует специально для этого домена и вашего аккаунта AWS. Получить две части записи CNAME (имя и метку) можно в ACM. Дополнительные инструкции см. в Руководстве пользователя ACM.

Безопасность, идентификация и соответствие требованиям›
Менеджер сертификатов AWS›
Вопросы и ответы

Вопросы и ответы по AWS Certificate Manager

Дальнейшие шаги

Решение AWS

Подробнее о Частном центре сертификации AWS

См. страницу

Console

Начните разработку с использованием Менеджера сертификатов AWS в Консоли управления AWS

Начните разработку в консоли

Вопросы и ответы по AWS Certificate Manager

Темы страниц

Дальнейшие шаги

Подробнее о Частном центре сертификации AWS

Начните разработку с использованием Менеджера сертификатов AWS в Консоли управления AWS

Прекращение поддержки Internet Explorer