Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Externe Kontobindungen

Externe Kontobindungen (EABs) sind Anmeldeinformationen, die ACME-Clients autorisieren, Konten bei einem ACME-Endpunkt zu registrieren. Ein ACME-Client kann keine Zertifikate von einem Endpunkt anfordern, ohne zuerst ein Konto zu registrieren, und für die Registrierung sind gültige EAB-Anmeldeinformationen erforderlich. Wenn ein PKI-Administrator einen EAB erstellt, ordnet er ihm eine IAM-Rolle zu, die steuert, welche Zertifikatsoperationen der ACME-Client ausführen kann. Der Administrator verteilt dann die EAB-Anmeldeinformationen bandübergreifend an die Teams oder Systeme, die Zertifikate benötigen.

Jeder EAB erzeugt eine Schlüssel-ID (Schlüssel-ID) und einen MAC-Schlüssel. Der ACME-Client verwendet diese Anmeldeinformationen bei der Kontoregistrierung, um die Autorisierung nachzuweisen. Nachdem das ACME-Konto erstellt wurde, funktioniert das Konto unabhängig vom EAB. Das Widerrufen oder Löschen eines EAB hat keine Auswirkungen auf bestehende ACME-Konten, die damit erstellt wurden.

Anforderungen an die IAM-Rolle

Jeder EAB ist einer IAM-Rolle zugeordnet. Diese Rolle bestimmt, was der ACME-Client beim Ausstellen oder Widerrufen von Zertifikaten tun kann. Die Rolle muss die folgenden Anforderungen erfüllen:

Vollständige Beispiele für IAM-Richtlinien finden Sie unter. IAM für die Automatisierung von ACME-Zertifikaten

Wie wird die EAB-Rolle verwendet

Wenn ein ACME-Client ein Zertifikat ausstellt oder widerruft, verwendet ACM die dem EAB des Kunden zugeordnete IAM-Rolle, um den Vorgang zu autorisieren. Da Ausstellung und Widerruf unter dieser Rolle erfolgen, verhält sich ACME wie die Standard-ACM-API:

Abrufen von Anmeldeinformationen

Nachdem Sie ein EAB erstellt haben, rufen Sie dessen Anmeldeinformationen ab, indem Sie GetAcmeExternalAccountBindingCredentials Das Ergebnis ist:

Optionaler Ablauf

Sie können ein Ablaufdatum für die EAB-Anmeldeinformationen konfigurieren:

Wenn die Anmeldeinformationen nicht vor Ablauf verwendet werden, werden sie ungültig. Wenn kein Ablaufdatum festgelegt ist, bleiben die Anmeldeinformationen gültig, bis das EAB gesperrt oder gelöscht wird.

Lebenszyklus von EAB- und ACME-Konten

Sobald ein ACME-Client ein Konto mit EAB-Anmeldeinformationen registriert hat, haben das ACME-Konto und das EAB unabhängige Lebenszyklen:

Erstellen einer externen Kontobindung

Sie können einen EAB mithilfe der ACM-Konsole oder der AWS CLI erstellen.

Um ein EAB (Konsole) zu erstellen

Um ein EAB zu erstellen (AWS CLI)

Führen Sie den folgenden Befehl aus, um ein EAB zu erstellen:

aws acm create-acme-external-account-binding \
    --acme-endpoint-arn arn:aws:acm:region:111122223333:acme-endpoint/00000000-0000-0000-0000-000000000000 \
    --role-arn arn:aws:iam::111122223333:role/AcmeIssuanceRole \
    --expiration '{"Value": 7, "Type": "DAYS"}'

Rufen Sie dann die Anmeldeinformationen ab:

aws acm get-acme-external-account-binding-credentials \
    --acme-external-account-binding-arn arn:aws:acm:region:111122223333:acme-endpoint/00000000-0000-0000-0000-000000000000/acme-external-account-binding/22222222-2222-2222-2222-222222222222

Die Antwort enthält die Schlüssel-ID und den MAC-Schlüssel, die Sie dem ACME-Client zur Verfügung stellen. Sie können diese Anmeldeinformationen jederzeit erneut abrufen, indem Sie anrufenGetAcmeExternalAccountBindingCredentials.

{
    "KeyId": "e06b7974-a684-4cc2-b4b1-1fd87ac81baa",
    "MacKey": "txvweHF1-COvXAKNlGk-58SX6ZVzEaaXaBPrwNAKCTo"
}

Verwaltung externer Kontobindungen

Sie können die folgenden Verwaltungsvorgänge auf EABs ausführen: