Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Bewährte Methoden
Best Practices sind Empfehlungen, die Ihnen helfen können, AWS Certificate Manager (AWS Certificate Manager) effektiver zu nutzen. Die folgenden bewährten Methoden basieren auf praktischen Erfahrungen aktueller ACM-Kunden.
Themen
Account-level Trennung
Verwenden Sie in Ihren Richtlinien eine Trennung auf Kontoebene, um zu kontrollieren, wer auf Kontoebene auf Zertifikate zugreifen kann. Bewahren Sie Ihre Produktionszertifikate in separaten Konten auf als Ihre Test- und Entwicklungszertifikate. Wenn Sie die Trennung auf Kontoebene nicht verwenden können, können Sie den Zugriff auf bestimmte Rollen einschränken, indem Sie kms:CreateGrant Aktionen in Ihren Richtlinien verweigern. Dadurch wird auf hoher Ebene eingeschränkt, welche Rollen in einem Konto Zertifikate signieren können. Informationen zu Zuschüssen, einschließlich der Begrifflichkeiten für Zuschüsse, finden Sie AWS KMS im AWS Key Management Service Entwicklerhandbuch unter Zuschüsse.
Wenn Sie eine detailliertere Kontrolle wünschen, als die Verwendung von „kms:CreateGrantNach Konto“ einzuschränken, können Sie die Verwendung von kms: EncryptionContext -Bedingungsschlüsseln kms:CreateGrant auf bestimmte Zertifikate beschränken. Geben Sie arn:aws:acm als Schlüssel den Wert des ARN an, der eingeschränkt werden soll. Die folgende Beispielrichtlinie verhindert die Verwendung eines bestimmten Zertifikats, erlaubt aber andere.
AWS CloudFormation
Mit können AWS CloudFormation Sie eine Vorlage erstellen, die die AWS Ressourcen beschreibt, die Sie verwenden möchten. CloudFormation stellt dann diese Ressourcen für Sie bereit und konfiguriert sie. CloudFormation kann Ressourcen bereitstellen, die von ACM unterstützt werden, wie Elastic Load Balancing CloudFront, Amazon und Amazon API Gateway. Weitere Informationen finden Sie unter Verwaltete Automatisierung mit integrierten Services.
Wenn Sie CloudFormation mehrere Testumgebungen schnell erstellen und löschen möchten, empfehlen wir, nicht für jede Umgebung ein separates ACM-Zertifikat zu erstellen. Dadurch wird Ihr Zertifikatkontingent schnell ausgeschöpft. Weitere Informationen finden Sie unter Kontingente. Erstellen Sie stattdessen ein Platzhalter-Zertifikat für alle Domainnamen, die Sie für das Testen verwenden. Wenn Sie beispielsweise wiederholt ACM-Zertifikate für Domainnamen erstellen, die sich nur durch eine Versionsnummer unterscheiden, z. B. <version>.service.example.com, erstellen Sie stattdessen ein einzelnes Platzhalterzertifikat für. <*> .service.example.com
Wichtig
Wenn Sie CloudFront Amazon-Distributionen verwenden, beachten Sie, dass die HTTP-Validierung keine Platzhalterzertifikate unterstützt. Wenn Sie Platzhalterzertifikate zur Verwendung mit Amazon in Ihre CloudFormation Vorlagen aufnehmen CloudFront, müssen Sie entweder die DNS-Validierung oder die E-Mail-Validierung verwenden. Wir empfehlen die DNS-Validierung für automatische Verlängerungsfunktionen.
Fügen Sie das Platzhalterzertifikat in die Vorlage ein, die CloudFormation Sie zur Erstellung Ihrer Testumgebung verwenden.
Benutzerdefinierte Trust Stores
Um die Konnektivität zu Endpunkten sicherzustellen, die durch ACM-Zertifikate geschützt sind, empfehlen wir, die Amazon-Roots
Zertifikat-Pinning
Zertifikat-Pinning, manchmal auch SSL-Pinning genannt, ist ein Prozess, den Sie in Ihrer Anwendung verwenden können, um einen Remote-Host zu validieren, indem Sie diesen Host direkt seinem X.509 Zertifikat oder öffentlichen Schlüssel zuordnen, anstatt einer Zertifikatshierarchie. Die Anwendung verwendet daher Pinning, um die Validierung der Zertifikatskette zu umgehen SSL/TLS . Beim typischen SSL-Validierungsprozess werden Signaturen in der Zertifikatkette, vom Zertifikat der Stammzertifizierungsstelle (CA) bis zu den untergeordneten CA-Zertifikaten, falls vorhanden, überprüft. Außerdem überprüft er das Zertifikat für den Remote-Host unten in der Hierarchie. Ihre Anwendung kann stattdessen an das Zertifikat für den Remote-Host pinnen, um zu vermitteln, dass nur das Zertifikat und nicht das Stammzertifikat oder ein anderes in der Kette vertrauenswürdig ist. Sie können Ihrer Anwendung während der Entwicklung das Zertifikat oder den öffentlichen Schlüssel des Remote-Hosts hinzufügen. Alternativ kann die Anwendung das Zertifikat oder den Schlüssel hinzufügen, wenn sie zum ersten Mal eine Verbindung mit dem Host einrichtet.
Warnung
Wir empfehlen, dass Ihre Anwendung nicht ein ACM-Zertifikat pinnt. ACM erneuert Ihre Amazon-issued SSL/TLS Zertifikate automatischVerwaltete Zertifikatsverlängerung in AWS Certificate Manager, bevor sie ablaufen. Zur Erneuerung eines Zertifikats generiert ACM ein neues öffentlich-privates Schlüsselpaar. Wenn Ihre Anwendung das ACM-Zertifikat anheftet und das Zertifikat erfolgreich mit einem neuen öffentlichen Schlüssel erneuert wird, kann die Anwendung möglicherweise keine Verbindung zu Ihrer Domain herstellen.
Wenn Sie sich entscheiden, ein Zertifikat zu pinnen, hindern die folgenden Optionen Ihre Anwendung nicht daran, eine Verbindung zu Ihrer Domain herzustellen:
-
Importieren Sie Ihr Zertifikat in ACM und pinnen Sie dann Ihre Anwendung an das importierte Zertifikat. ACM versucht nicht, importierte Zertifikate automatisch zu erneuern.
-
Wenn Sie ein öffentliches Zertifikat verwenden, heften Sie Ihre Anwendung an alle verfügbaren Amazon-Stammzertifikate
an. Wenn Sie ein privates Zertifikat verwenden, heften Sie Ihre Anwendung an das Stammzertifikat der Zertifizierungsstelle an.
Domainvalidierung
Bevor die Amazon-Zertifizierungsstelle (CA) ein Zertifikat für Ihre Website ausstellen kann, muss AWS Certificate Manager (ACM) überprüfen, ob Sie Eigentümer oder Kontrolle über alle Domains haben, die Sie in Ihrer Anfrage angegeben haben. Sie können die Verifizierung per E-Mail oder DNS durchführen. Weitere Informationen erhalten Sie unter AWS Certificate Manager DNS-Validierung und AWS Certificate Manager E-Mail-Validierung.
Hinzufügen oder Löschen von Domainnamen
Sie können keine Domainnamen zu einem vorhandenen ACM-Zertifikat hinzufügen oder daraus entfernen. Stattdessen müssen Sie ein neues Zertifikat mit der überarbeiteten Liste der Domainnamen anfordern. Beispiel: Wenn Ihr Zertifikat fünf Domainnamen hat und Sie vier weitere hinzufügen möchten, müssen Sie ein neues Zertifikat mit allen neun Domainnamen anfordern. Wie bei jedem neuen Zertifikat müssen Sie den Besitz aller Domainnamen in der Anforderung validieren, einschließlich der Namen, die Sie zuvor für das ursprüngliche Zertifikat validiert haben.
Wenn Sie eine E-Mail-Validierung verwenden, erhalten Sie für jede Domain bis zu 8 Validierungs-E-Mails, wobei mindestens eine innerhalb von 72 Stunden bearbeitet werden muss. Wenn Sie beispielsweise ein Zertifikat mit fünf Domainnamen anfordern, erhalten Sie bis zu 40 Validierungsnachrichten, wobei mindestens fünf innerhalb von 72 Stunden bearbeitet werden müssen. Da die Anzahl der Domainnamen in der Zertifikatsanforderung steigt, steigt auch der Arbeitsaufwand für die Validierung des Besitzes der Domain per E-Mail.
Wenn Sie stattdessen die DNS-Validierung verwenden, müssen Sie einen neuen DNS-Datensatz für den FQDN, den Sie validieren möchten, in die Datenbank schreiben. ACM sendet Ihnen den zu erstellenden Datensatz sowie später Abfragen für die Datenbank, um festzustellen, ob der Datensatz hinzugefügt wurde. Das Hinzufügen des Datensatzes garantiert, dass Sie die Domain besitzen oder kontrollieren. Wenn Sie im obigen Beispiel ein Zertifikat mit fünf Domainnamen anfordern, müssen Sie fünf DNS-Datensätze erstellen. Wir empfehlen Ihnen, nach Möglichkeit die DNS-Validierung zu verwenden.
Datenschutz bei Domainnamen
Verwenden Sie keine vertraulichen oder sensiblen Informationen in Domainnamen für öffentliche Zertifikate. Öffentliche Zertifikate, einschließlich öffentlicher ACM-Zertifikate, werden in öffentlichen Zertifikatstransparenzprotokollen protokolliert, die nur als Anlage dienen. Weitere Informationen finden Sie unter Protokollierung der Zertifikatstransparenz.
Einschalten AWS CloudTrail
Schalten Sie die CloudTrail Protokollierung ein, bevor Sie ACM verwenden. CloudTrail ermöglicht es Ihnen, Ihre AWS Bereitstellungen zu überwachen, indem Sie einen Verlauf der AWS API-Aufrufe für Ihr Konto abrufen, einschließlich API-Aufrufen, die über die AWS Management Console, die AWS SDKs, die Amazon Web Services und übergeordnete Amazon Web AWS Command Line Interface Services getätigt wurden. Sie können auch feststellen, welche Benutzer und Konten die ACM-APIs aufgerufen haben, die Quell-IP-Adresse, von der diese Aufrufe stammen, sowie den Zeitpunkt der Aufrufe. Sie können mithilfe der API CloudTrail in Anwendungen integrieren, die Erstellung von Trails für Ihr Unternehmen automatisieren, den Status Ihrer Trails überprüfen und steuern, wie Administratoren die Anmeldung ein- und ausschalten CloudTrail . Weitere Informationen finden Sie unter Erstellen eines Trails. Beispiel-Trails für ACM Aktionen finden Sie unter Wird mit verwendet CloudTrail AWS Certificate Manager.
