Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Traiga su propio certificado (BYOC) para VPC Lattice
Para atender solicitudes HTTPS, debe disponer de su propio certificado SSL/TLS listo en AWS Certificate Manager (ACM) antes de configurar un nombre de dominio personalizado. Estos certificados deben tener un nombre alternativo del sujeto (SAN) o un nombre común (CN) que coincida con el nombre de dominio personalizado de su servicio. Si el SAN está presente, comprobamos si solo hay una coincidencia en la lista de SAN. Si el SAN está ausente, comprobamos si hay alguna coincidencia en el CN.
VPC Lattice atiende las solicitudes HTTPS mediante el uso de la indicación de nombre de servidor (SNI). El DNS enruta la solicitud HTTPS a su servicio de VPC Lattice en función del nombre de dominio personalizado y el certificado que coincide con este nombre de dominio. Para solicitar un certificado SSL/TLS para un nombre de dominio en ACM o importar uno a ACM, consulte Emisión y administración de certificados e Importación de certificados en la Guía del usuario de AWS Certificate Manager . Si no puede solicitar o importar su propio certificado en ACM, utilice el nombre de dominio y el certificado generados por VPC Lattice.
VPC Lattice solo acepta un certificado personalizado por servicio. Sin embargo, puede usar un certificado personalizado para varios dominios personalizados. Esto significa que puede usar el mismo certificado para todos los servicios de VPC Lattice que cree con un nombre de dominio personalizado.
Para ver su certificado mediante la consola ACM, abra Certificados y seleccione el ID de su certificado. Debería ver el servicio de VPC Lattice que está asociado a ese certificado en Recurso asociado.
Limitaciones y consideraciones
-
VPC Lattice permite coincidencias con caracteres comodín que estén a un nivel de profundidad en el nombre alternativo del sujeto (SAN) o el nombre común (CN) del certificado asociado. Por ejemplo, si crea un servicio con el nombre de dominio personalizado
parking.example.comy asocia su propio certificado al SAN*.example.com. Cuando se recibe una solicitud paraparking.example.com, VPC Lattice hace coincidir el SAN con cualquier nombre de dominio con el dominio apexexample.com. Sin embargo, si tiene el dominio personalizadoparking.different.example.comy su certificado tiene el SAN*.example.com, la solicitud fallará. -
VPC Lattice admite un nivel de coincidencia de dominios comodín. Esto significa que un comodín solo se puede usar como subdominio de primer nivel y que solo protege un nivel de subdominio. Por ejemplo, si el SAN de su certificado es
*.example.com, entoncesparking.*.example.comno es compatible. -
VPC Lattice admite un comodín por nombre de dominio. Esto significa que
*.*.example.comno es válido. Para obtener más información, consulte Solicitud de un certificado público en la Guía del usuario de AWS Certificate Manager . -
VPC Lattice solo admite certificados con claves RSA de 2048 bits.
-
El certificado SSL/TLS de ACM debe estar en la misma región que el servicio de VPC Lattice al que lo está asociando.
Protección de la clave privada de su certificado
Cuando solicitas un SSL/TLS certificate using ACM, ACM generates a public/private key pair. Cuando importa un certificado, es usted quien genera el par de claves. La clave pública pasa a formar parte del certificado. Para almacenar la clave privada de forma segura, ACM crea otra clave AWS KMS, denominada clave KMS, con el alias aws/acm. AWS KMS utiliza esta clave para cifrar la clave privada del certificado. Para obtener más información, consulte Protección de datos en AWS Certificate Manager en la Guía del usuario de AWS Certificate Manager .
VPC Lattice usa AWS TLS Connection Manager, un servicio al que solo pueden acceder Servicios de AWS, para proteger y usar las claves privadas de su certificado. Cuando usa su certificado ACM para crear un servicio de VPC Lattice, VPC Lattice asocia su certificado con TLS Connection Manager. AWS Para ello, creamos una concesión en función de su clave gestionada. AWS KMS AWS Esta concesión permite que TLS Connection Manager lo utilice AWS KMS para descifrar la clave privada de su certificado. TLS Connection Manager utiliza el certificado y la clave privada descifrada (texto sin formato) para establecer una conexión segura (sesión SSL/TLS) con los clientes de los servicios de VPC Lattice. Cuando el certificado se desvincula de un servicio de VPC Lattice, la concesión se retira. Para obtener más información, consulte Concesiones en la Guía para desarrolladores de AWS Key Management Service .
Para obtener más información, consulte Cifrado en reposo.
