ACMcaracterísticas del certificado

Los certificados públicos que solicitas ACM se obtienen de Amazon Trust Services, una autoridad de certificación pública (CA) gestionada por Amazon. Una raíz CAs antigua denominada Starfield G2 Root Certificate Authority (G2) realiza firmas cruzadas entre Amazon Root Root Certificate Authority (G2). La raíz Starfield es de confianza en dispositivos Android a partir de las versiones posteriores a Gingerbread, y en iOS a partir de la versión 4.1. Las raíces de Amazon son de confianza en iOS a partir de la versión 11. Cualquier navegador, aplicación o sistema operativo que incluya las raíces de Amazon o Starfield confiará en los certificados públicos obtenidos deACM.

Los certificados hoja o de entidad final que se ACM expiden a los clientes derivan su autoridad de una CA raíz de Amazon Trust Services o de una de varias entidades intermediasCAs. ACMasigna aleatoriamente una CA intermedia en función del tipo de certificado (RSAoECDSA) solicitado. Como la CA intermedia se selecciona aleatoriamente después de generar la solicitud, ACM no proporciona información sobre la CA intermedia.

ACMLos principales navegadores, incluidos Google Chrome, Microsoft Internet Explorer y Microsoft Edge, Mozilla Firefox y Apple Safari, confían en los certificados. Los navegadores que confían en ACM los certificados muestran un icono de candado en la barra de estado o en la barra de direcciones cuando se conectan medianteSSL/TLSa sitios que utilizan ACM certificados. ACMJava también confía en los certificados.

Con el fin de mantener una infraestructura de certificados resiliente y ágil, Amazon puede decidir en cualquier momento dejar de utilizar una CA intermedia sin previo aviso. Este tipo de cambios no afectan a los clientes. Para obtener más información, consulte la entrada de blog “Amazon introduces dynamic intermediate certificate authorities” (Amazon presenta las entidades de certificación intermedias dinámicas).

En el improbable caso de que Amazon deje de utilizar una CA raíz, el cambio se producirá tan pronto como lo requieran las circunstancias. Debido al gran impacto de este cambio, Amazon utilizará todos los mecanismos disponibles para notificar a los AWS clientes, incluido el AWS Health Dashboard correo electrónico a los propietarios de las cuentas y la comunicación con los administradores técnicos de cuentas.

Si un certificado de entidad final deja de ser de confianza, se revocará. OCSPy CRLs son los mecanismos estándar que se utilizan para verificar si un certificado ha sido revocado o no. OCSPy CRLs son los mecanismos estándar que se utilizan para publicar la información de revocación. Es posible que los firewalls de algunos clientes necesiten reglas adicionales para permitir el funcionamiento de estos mecanismos.

El siguiente ejemplo de patrones URL comodín se puede utilizar para identificar el tráfico de revocaciones. Un asterisco (*) representa uno o varios caracteres alfanuméricos, un signo de interrogación de cierre (?) representa un único carácter alfanumérico, y una almohadilla (#) representa un número.

Los certificados de ACM se validan en función del dominio. Es decir, el campo de asunto de un ACM certificado identifica un nombre de dominio y nada más. Al solicitar un ACM certificado, debe validar que es propietario o controla todos los dominios que especifique en su solicitud. Puede validar la propiedad mediante el correo electrónico oDNS. Para obtener más información, consulte Validación por correo electrónico y DNSvalidación.

El período de validez de ACM los certificados es de 13 meses (395 días).

ACMgestiona el proceso de renovación de ACM los certificados y el aprovisionamiento de los certificados una vez renovados. La renovación automática puede ayudarle a evitar el tiempo de inactividad debido a certificados configurados incorrectamente, revocados o caducados. Para obtener más información, consulte Renovación gestionada de ACM certificados.

Cada ACM certificado debe incluir al menos un nombre de dominio completo (FQDN) y, si lo desea, puede añadir nombres adicionales. Por ejemplo, al crear un ACM certificado parawww.example.com, también puede agregar el nombre www.example.net si los clientes pueden acceder a su sitio con cualquiera de los dos nombres. Lo mismo sucede con los dominios vacíos (también conocidos como ápex de zona o dominios desnudos). Es decir, puedes solicitar un ACM certificado para www.example.com y añadir el nombre example.com. Para obtener más información, consulte Solicitar un certificado público.

ACMpermite utilizar un asterisco (*) en el nombre de dominio para crear un ACM certificado que contenga un nombre comodín que pueda proteger varios sitios del mismo dominio. Por ejemplo, *.example.com protege www.example.com e images.example.com.

Un certificado debe especificar un algoritmo y un tamaño de clave. Actualmente, se admiten los algoritmos de clave pública siguientes RSA y los algoritmos de clave pública Elliptic Curve Digital Signature Algorithm (ECDSA). ACM ACMpuede solicitar la emisión de nuevos certificados mediante algoritmos marcados con un asterisco (*). Los algoritmos restantes solo son compatibles con los certificados importados.

ECDSAlas llaves son más pequeñas y ofrecen una seguridad comparable a la de RSA las llaves, pero con una mayor eficiencia informática. Sin embargo, no ECDSA es compatible con todos los clientes de red. La siguiente tabla, adaptada de NIST, muestra el grado de seguridad representativo de RSA y ECDSA con claves de varios tamaños. Todos los valores se muestran en bits.

El nivel de seguridad, entendido como una potencia de 2, está relacionado con la cantidad de intentos necesarios para romper el cifrado. ^{Por ejemplo, tanto una clave de 3072 bits como una RSA clave de 256 bits ECDSA se pueden recuperar con no más de 2 128 intentos.}

Para obtener información que le ayude a elegir un algoritmo, consulte la entrada del AWS blog Cómo evaluar y utilizar los certificados en. ECDSA AWS Certificate Manager

Se deben cumplir los siguientes requisitos de Punycode relativos a los Nombres de dominio internacionalizados:

Tenga en cuenta lo siguiente: