Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Per abilitare le connessioni HTTPS al sito Web o all'applicazione in AWS, è necessario un certificato del server SSL/TLS. Per i certificati in una regione supportata da AWS Certificate Manager (ACM), consigliamo di utilizzare ACM per effettuare il provisioning, la gestione e la distribuzione dei certificati server. Nelle regioni non supportate, è necessario utilizzare IAM come gestore di certificati. Per informazioni sulle regioni supportate da ACM, consulta Endpoint e quote di AWS Certificate Manager nella Riferimenti generali di AWS.
Importante
ACM è lo strumento preferito per il provisioning, la gestione e la distribuzione dei certificati del server. Con ACM, puoi richiedere un certificato o implementare un certificato ACM esistente o un certificato esterno alle risorse AWS. I certificati forniti da ACM sono gratuiti e vengono automaticamente rinnovati. In una regione supportata è possibile utilizzare ACM per gestire i certificati server dalla console o a livello di programmazione. Per ulteriori informazioni sull'utilizzo di ACM, consulta la Guida per l'utente di AWS Certificate Manager. Per ulteriori informazioni su come richiedere un certificato ACM, consulta Richiesta di un certificato pubblico o Richiesta di un certificato privato nella Guida per l'utente di AWS Certificate Manager. Per ulteriori informazioni sull'importazione di certificati di terza parte in ACM, consulta Importazione di certificati nella Guida per l'utente di AWS Certificate Manager.
Utilizza IAM come gestore di certificati solo quando è necessario il supporto alle connessioni HTTPS in una regione che non è supportata da ACM. IAM crittografa in modo sicuro le chiavi private e archivia la versione crittografata nella memoria dei certificati SSL di IAM. IAM supporta la distribuzione di certificati del server in tutte le regioni, ma è necessario ottenere il certificato da un provider esterno per l'uso con AWS. Non è possibile caricare un certificato ACM in IAM. Inoltre, non è possibile gestire i certificati dalla console IAM.
Per ulteriori informazioni sul caricamento di certificati di terze parti in IAM, consulta i seguenti argomenti.
Argomenti
Caricare un certificato server (API AWS)
Per caricare un certificato del server in IAM, è necessario fornire il certificato e la chiave privata corrispondente. Quando il certificato non è autofirmato, è necessario fornire anche una catena di certificati. (La catena di certificati non necessaria se si carica un certificato autofirmato). Prima di caricare un certificato, assicurarsi di disporre di tutti questi elementi e di soddisfare i seguenti criteri:
-
Il certificato deve essere valido al momento del caricamento. Non è possibile caricare un certificato prima dell'inizio del periodo di validità
NotBefore
o dopo la data di scadenza (la dataNotAfter
del certificato). -
La chiave di accesso non deve essere crittografata. Non è possibile caricare una chiave di accesso privata protetta da password o da passphrase. Per informazioni sulla decodifica di una chiave privata crittografata, consultare Risolvere i problemi relativi ai certificati server.
-
Il certificato, la chiave privata e la catena di certificati devono tutti essere codificati con PEM. Per informazioni sulla conversione di tali elementi in formato PEM, consultare Risolvere i problemi relativi ai certificati server.
Per utilizzare l'API IAM per caricare un certificato, invia una richiesta UploadServerCertificate. L'esempio seguente mostra come eseguire questa operazione con l'AWS Command Line Interface (AWS CLI)
-
Il certificato con codifica PEM è archiviato in un file denominato
Certificate.pem
. -
La catena di certificati con codifica PEM è archiviata in un file denominato
CertificateChain.pem
. -
La chiave privata non crittografata con codifica PEM è archiviata in un file denominato
PrivateKey.pem
. -
(Facoltativo) Desideri applicare un tag al certificato del server con una coppia chiave-valore. Ad esempio, è possibile aggiungere la chiave tag
Department
e il valore tagEngineering
per facilitare l'identificazione e l'organizzazione dei certificati.
Per utilizzare il seguente comando esemplificativo, sostituisci questi nomi di file con il tuo. Sostituisci ExampleCertificate
con un nome per il certificato caricato. Se desideri contrassegnare il certificato, sostituisci la coppia chiave-valore dei tag ExampleKey
ed ExampleValue
con i tuoi valori. Digitare il comando su una linea continua. L'esempio seguente include interruzioni di linea e spazi aggiuntivi per agevolare la lettura.
aws iam upload-server-certificate --server-certificate-name
ExampleCertificate
--certificate-body file://Certificate.pem
--certificate-chain file://CertificateChain.pem
--private-key file://PrivateKey.pem
--tags '{"Key": "ExampleKey
", "Value": "ExampleValue
"}'
Quando il comando precedente viene completato, restituisce i metadati relativi al certificato caricati, tra cui il relativo Amazon Resource Name (ARN), il nome descrittivo, l'identificatore (ID), la data di scadenza, i tag e molte altre informazioni.
Nota
Se stai caricando un certificato del server da utilizzare con Amazon CloudFront, devi specificare un percorso tramite l'opzione --path
. Il percorso deve iniziare con /cloudfront
e devono includere una barra finale (ad esempio, /cloudfront/test/
).
Per caricare un certificato tramite AWS Tools for Windows PowerShell, utilizza Publish-IAMServerCertificate.
Operazioni API AWS per i certificati server
Utilizza i seguenti comandi per visualizzare, aggiungere tag, rinominare ed eliminare i certificati server.
-
Usa GetServerCertificate per recuperare un certificato. Questa richiesta restituisce il certificato, la la catena di certificati (se ne è stata caricata una) e i metadati sul certificato.
Nota
Non è possibile scaricare o recuperare una chiave privata da IAM dopo averla caricata.
-
Usa Get-IAMServerCertificate per recuperare un certificato.
-
Usa ListServerCertificates per elencare i certificati server caricati. La richiesta restituisce un elenco che contiene metadati relativi a ciascun certificato.
-
Utilizza Get-IAMServerCertificates per elencare i certificati server caricati.
-
Usa TagServerCertificate per applicare i tag a un certificato server esistente.
-
Per rimuovere i tag da un certificato server, utilizza UntagServerCertificate.
-
Usare UpdateServerCertificate per rinominare un certificato server o aggiornarne il percorso.
L'esempio seguente mostra come eseguire questa operazione con l'AWS CLI.
Per utilizzare il seguente comando di esempio, sostituire i nomi dei certificati precedenti e nuovi e il percorso del certificato e digitare il comando su una riga continua. L'esempio seguente include interruzioni di linea e spazi aggiuntivi per agevolare la lettura.
aws iam update-server-certificate --server-certificate-name
ExampleCertificate
--new-server-certificate-nameCloudFrontCertificate
--new-path/cloudfront/
Per rinominare un certificato del server o aggiornarne il percorso tramite AWS Tools for Windows PowerShell, utilizza Update-IAMServerCertificate.
-
Utilizza DeleteServerCertificate per eliminare un certificato server.
Per eliminare un certificato del server tramite AWS Tools for Windows PowerShell, utilizza Remove-IAMServerCertificate.
Risolvere i problemi relativi ai certificati server
Prima di poter caricare un certificato in IAM, è necessario assicurarsi che il certificato, la chiave privata e la catena di certificati dispongano tutti della codifica PEM. È inoltre necessario assicurarsi che la chiave privata non sia crittografata. Fare riferimento agli esempi riportati di seguito.
Esempio di certificato con codifica PEM
-----BEGIN CERTIFICATE-----
Base64-encoded certificate
-----END CERTIFICATE-----
Esempio di chiave privata con codifica PEM, non crittografata
-----BEGIN RSA PRIVATE KEY-----
Base64-encoded private key
-----END RSA PRIVATE KEY-----
Esempio di catena di certificati con codifica PEM
Una catena di certificati contiene uno o più certificati. Puoi utilizzare un editor di testo, il comando di copia in Windows, oppure il comando Linux cat per concatenare i tuoi file del certificato in una catena. Quando includi più certificati, ogni certificato deve certificare il certificato precedente. Puoi farlo concatenando i certificati, incluso il certificato CA radice per ultimo.
L'esempio seguente contiene tre certificati, ma la catena di certificati può contenerne un numero maggiore o minore di certificati.
-----BEGIN CERTIFICATE-----
Base64-encoded certificate
-----END CERTIFICATE----- -----BEGIN CERTIFICATE-----Base64-encoded certificate
-----END CERTIFICATE----- -----BEGIN CERTIFICATE-----Base64-encoded certificate
-----END CERTIFICATE-----
Se questi elementi non sono nel formato corretto per il caricamento in IAM, puoi utilizzare OpenSSL
- Per convertire un certificato o una catena di certificati da DER a PEM
-
Utilizzare il comando OpenSSL x509
, come nell'esempio seguente. Nel seguente comando di esempio, sostituire
con il nome del file che contiene il certificato con codifica DER. SostituireCertificate.der
con il nome preferito del file di output per contenere il certificato con codifica PEM.Certificate.pem
openssl x509 -inform DER -in
Certificate.der
-outform PEM -outCertificate.pem
- Per convertire una chiave privata da DER a PEM
-
Utilizzare il comando OpenSSL rsa
, come nell'esempio seguente. Nel seguente comando di esempio, sostituire
con il nome del file che contiene la chiave privata con codifica DER. SostituirePrivateKey.der
con il nome preferito del file di output per contenere la chiave privata con codifica PEM.PrivateKey.pem
openssl rsa -inform DER -in
PrivateKey.der
-outform PEM -outPrivateKey.pem
- Per decrittografare una chiave privata crittografata (rimuovere la password o la passphrase)
-
Utilizzare il comando OpenSSL rsa
, come nell'esempio seguente. Per utilizzare il seguente comando di esempio, sostituire
con il nome del file che contiene la chiave privata crittografata. SostituireEncryptedPrivateKey.pem
con il nome preferito del file di output per contenere la chiave privata con codifica PEM non crittografata.PrivateKey.pem
openssl rsa -in
EncryptedPrivateKey.pem
-outPrivateKey.pem
- Per convertire un bundle di certificati da PKCS # 12 (PFX) a PEM
-
Utilizzare il comando OpenSSL pkcs12
, come nell'esempio seguente. Nel seguente comando di esempio, sostituire
con il nome del file che contiene il bundle di certificati con codifica PKCS#12. SostituireCertificateBundle.p12
con il nome preferito del file di output per contenere il bundle di certificati con codifica PEM.CertificateBundle.pem
openssl pkcs12 -in
CertificateBundle.p12
-outCertificateBundle.pem
-nodes - Per convertire un bundle di certificati da PKCS#7 a PEM
-
Utilizzare il comando OpenSSL pkcs7
, come nell'esempio seguente. Nel seguente comando di esempio, sostituire
con il nome del file che contiene il bundle di certificati con codifica PKCS#7. SostituireCertificateBundle.p7b
con il nome preferito del file di output per contenere il bundle di certificati con codifica PEM.CertificateBundle.pem
openssl pkcs7 -in
CertificateBundle.p7b
-print_certs -outCertificateBundle.pem