AWS Private CA VPC-Endpunkte (AWS PrivateLink)

Sie können eine private Verbindung zwischen Ihrer VPC und AWS Private CA durch die Konfiguration eines Schnittstellen-VPC-Endpunkts herstellen. Schnittstellenendpunkte werden von AWS PrivateLink einer Technologie für den privaten Zugriff auf AWS Private CA API-Operationen unterstützt. AWS PrivateLink leitet den gesamten Netzwerkverkehr zwischen Ihrer VPC und AWS Private CA über das Amazon-Netzwerk weiter und vermeidet so eine Gefährdung durch das offene Internet. Jeder VPC-Endpunkt wird durch eine oder mehrere Elastic Network-Schnittstellen mit privaten IP-Adressen in Ihren VPC-Subnetzen repräsentiert.

Der VPC-Schnittstellen-Endpunkt verbindet Ihre VPC direkt AWS Private CA ohne Internet-Gateway, NAT-Gerät, VPN-Verbindung oder Verbindung. Direct Connect Die Instances in Ihrer VPC benötigen für die Kommunikation mit der AWS Private CA -API keine öffentlichen IP-Adressen.

Für die Nutzung AWS Private CA über Ihre VPC müssen Sie eine Verbindung von einer Instance aus herstellen, die sich innerhalb der VPC befindet. Alternativ können Sie Ihr privates Netzwerk mit Ihrer VPC verbinden, indem Sie ein AWS Virtual Private Network ()Site-to-Site VPN oder verwenden. Direct Connect Informationen dazu Site-to-Site VPN finden Sie unter VPN-Verbindungen im Amazon VPC-Benutzerhandbuch. Informationen zu Direct Connect finden Sie unter Erstellen einer Verbindung im Direct Connect -Benutzerhandbuch.

AWS Private CA erfordert nicht die Verwendung von AWS PrivateLink, wir empfehlen es jedoch als zusätzliche Sicherheitsebene. Weitere Informationen zu AWS PrivateLink VPC-Endpunkten finden Sie unter Zugreifen auf Dienste über. AWS PrivateLink

Überlegungen für AWS Private CA VPC-Endpunkte

Beachten Sie die folgenden Überlegungen AWS Private CA, bevor Sie VPC-Endpunkte für die Schnittstelle einrichten:

AWS Private CA Die API unterstützt derzeit VPC-Endpunkte in den folgenden Bereichen: AWS-Regionen

Erstellen der VPC-Endpunkte für AWS Private CA

Sie können einen VPC-Endpunkt für den AWS Private CA Dienst erstellen, indem Sie entweder die VPC-Konsole unter oder die verwenden. https://console.aws.amazon.com/vpc/ AWS Command Line Interface Weitere Informationen finden Sie im Verfahren zum Erstellen eines Schnittstellenendpunkts im Amazon VPC-Benutzerhandbuch. AWS Private CA unterstützt Aufrufe aller API-Operationen in Ihrer VPC.

Wenn Sie private DNS-Hostnamen für den Endpunkt aktiviert haben, wird der AWS Private CA Standard-Endpunkt jetzt in Ihren VPC-Endpunkt aufgelöst. Eine umfassende Liste der Standard-Serviceendpunkte finden Sie unter Service-Endpunkte und Kontingente.

Wenn Sie private DNS-Hostnamen nicht aktiviert haben, stellt Amazon VPC einen DNS-Endpunktnamen bereit, den Sie im folgenden Format verwenden können:

vpc-endpoint-id.acm-pca.region.vpce.amazonaws.com

Weitere Informationen finden Sie unter AWS Private CA VPC-Endpunkte (AWS PrivateLink) im Amazon VPC-Benutzerhandbuch.

Erstellen Sie eine VPC-Endpunktrichtlinie für AWS Private CA

Sie können eine Richtlinie für Amazon VPC-Endpunkte erstellen, AWS Private CA um Folgendes anzugeben:

Weitere Informationen finden Sie unter Steuern des Zugriffs auf Dienste mit VPC-Endpunkten im Amazon VPC-Handbuch.

Beispiel — VPC-Endpunktrichtlinie für AWS Private CA actions

Wenn die folgende Richtlinie an einen Endpunkt angehängt ist, gewährt sie allen Prinzipalen Zugriff auf die AWS Private CA Aktionen IssueCertificateDescribeCertificateAuthority,, GetCertificate GetCertificateAuthorityCertificateListPermissions, und. ListTags Die Ressource in jedem Abschnitt ist eine private Zertifizierungsstelle. Im ersten Abschnitt wird die Erstellung von Endentitätszertifikaten unter Verwendung der angegebenen privaten Zertifizierungsstelle und Zertifikatvorlage autorisiert. Wenn Sie die verwendete Vorlage nicht kontrollieren möchten, wird der Abschnitt Condition nicht benötigt. Wenn Sie diesen jedoch entfernen, können alle Prinzipale CA-Zertifikate sowie Endentitätszertifikate erstellen.

{
      "Statement":[
         {
            "Principal":"*",
            "Effect":"Allow",
            "Action":[
               "acm-pca:IssueCertificate"
            ],
            "Resource":[
               "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
            ],
            "Condition":{
               "StringEquals":{
                  "acm-pca:TemplateArn":"arn:aws:acm-pca:::template/EndEntityCertificate/V1"
               }
            }
         },
         {
            "Principal":"*",
            "Effect":"Allow",
            "Action":[
               "acm-pca:DescribeCertificateAuthority",
               "acm-pca:GetCertificate",
               "acm-pca:GetCertificateAuthorityCertificate",
               "acm-pca:ListPermissions",
               "acm-pca:ListTags"
            ],
            "Resource":[
               "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
            ]
         }
      ]
   }