기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
ACM인증서 특성
에서 제공하는 공인 ACM 인증서에는 이 페이지의 이 설명된 특성이 있습니다.
참고
이러한 특성은 에서 제공하는 인증서에만 적용됩니다ACM. 가져오는 인증서에는 적용되지 않을 수 ACM 있습니다.
-
요청하는 공개 인증서는 아마존에서 관리하는 공인 인증 기관 (CA) 인 Amazon Trust Services에서
발급합니다. ACM Amazon 루트 CAs 1~4에는 Starfield G2 루트 인증 기관 - G2라는 오래된 루트가 상호 서명합니다. Starfield 루트는 최신 버전의 Gingerbread부터 시작하여 Android 기기에서 신뢰할 수 있으며 버전 4.1부터 iOS에서도 신뢰할 수 있습니다. 버전 11부터 iOS가 Amazon 루트를 신뢰합니다. Amazon 또는 Starfield 루트를 포함하는 모든 브라우저, 애플리케이션 또는 OS는 에서 ACM 발급한 공인 인증서를 신뢰합니다. 고객에게 ACM 발급하는 리프 또는 최종 엔티티 인증서는 Amazon Trust Services 루트 CA에서 여러 중간 인증서를 통해 권한을 얻습니다. CAs ACM요청된 인증서 유형 (또는) 에 따라 중간 CA를 무작위로 할당합니다. RSA ECDSA 요청이 생성된 후 중간 CA가 임의로 선택되므로 중간 CA 정보를 ACM 제공하지 않습니다.
- 브라우저 및 애플리케이션 신뢰
-
ACM인증서는 구글 크롬, 마이크로소프트 인터넷 익스플로러와 마이크로소프트 엣지, 모질라 파이어폭스, 애플 사파리를 포함한 모든 주요 브라우저에서 신뢰됩니다. ACM인증서를 신뢰하는 브라우저가 인증서를 사용하는 사이트에 SSL TLS /로 연결되면 상태 표시줄이나 주소 표시줄에 자물쇠 아이콘이 표시됩니다. ACM ACMJava에서도 인증서를 신뢰합니다.
- 중간 및 루트 CA 순환
-
Amazon은 복원력이 뛰어나고 민첩한 인증서 인프라를 유지하기 위해 언제든지 사전 통지 없이 중간 CA를 중단하도록 선택할 수 있습니다. 이러한 종류의 변경은 고객에게 영향을 미치지 않습니다. 자세한 내용은 블로그 게시물 "Amazon introduces dynamic intermediate certificate authorities
"(Amazon, 동적 중간 인증 기관 도입)를 참조하세요. 드문 경우이긴 하지만 Amazon에서 루트 CA를 중단하는 경우 상황에 따라 즉시 변경이 발생할 것입니다. 이러한 변경의 영향이 크기 때문에 Amazon은 계정 소유자에게 이메일을 보내고 기술 계정 관리자에게 연락하는 등 가능한 모든 메커니즘을 사용하여 AWS 고객에게 알릴 것입니다. AWS Health Dashboard
- 해지를 위한 방화벽 액세스
-
최종 엔티티 인증서를 더 이상 신뢰할 수 없는 경우 해당 인증서가 해지됩니다. OCSP및 CRLs 는 인증서 취소 여부를 확인하는 데 사용되는 표준 메커니즘입니다. OCSP및 CRLs 는 해지 정보를 게시하는 데 사용되는 표준 메커니즘입니다. 이러한 메커니즘이 작동하도록 하기 위해 일부 고객 방화벽에는 추가 규칙이 필요할 수 있습니다.
다음 예제 URL 와일드카드 패턴을 사용하여 해지 트래픽을 식별할 수 있습니다. 별표(*) 와일드카드는 하나 이상의 영숫자 문자에 해당하고, 물음표(?)는 단일 영숫자를 나타내고, 해시 마크(#)는 숫자를 나타냅니다.
-
OCSP
http://ocsp.?????.amazontrust.com
http://ocsp.*.amazontrust.com
-
CRL
http://crl.?????.amazontrust.com/?????.crl
http://crl.*.amazontrust.com/*.crl
-
- 도메인 검증(DV)
-
ACM 인증서의 도메인을 검증합니다. 즉, ACM 인증서의 제목 필드는 도메인 이름만 식별할 수 있습니다. ACM인증서를 요청할 때는 요청에 지정한 모든 도메인을 소유하고 있거나 제어하고 있는지 확인해야 합니다. 이메일 또는 를 사용하여 소유권을 검증할 수 DNS 있습니다. 자세한 내용은 이메일 검증 및 DNS유효성 검사 단원을 참조하세요.
- 유효 기간
-
ACM인증서 유효 기간은 13개월 (395일) 입니다.
- 관리형 갱신 및 배포
-
ACM인증서를 갱신하고 갱신한 후 ACM 인증서를 제공하는 프로세스를 관리합니다. 자동 갱신을 사용하면 잘못된 구성, 취소 또는 만료된 인증서로 인한 가동 중지를 방지할 수 있습니다. 자세한 내용은 ACM인증서에 대한 관리형 갱신 단원을 참조하십시오.
- 여러 도메인 이름
-
각 ACM 인증서에는 최소한 하나의 정규화된 도메인 이름 (FQDN) 이 포함되어야 하며, 원하는 경우 이름을 더 추가할 수 있습니다. 예를 들어, ACM 인증서를 생성할 때 고객이 두 이름 중 하나를 사용하여 사이트에 접속할 수 있도록
www.example.net
하려면 이름을 추가할 수도 있습니다.www.example.com
이는 베어 도메인(zone apex 또는 naked 도메인이라고도 함)의 경우데 마찬가지입니다. 즉, www.example.com에 대한 ACM 인증서를 요청하고 example.com이라는 이름을 추가할 수 있습니다. 자세한 내용은 퍼블릭 인증서 요청 단원을 참조하십시오. - 와일드카드 이름
-
ACM도메인 이름에 별표 (*) 를 사용하여 동일한 도메인의 여러 사이트를 보호할 수 있는 와일드카드 이름이 포함된 ACM 인증서를 만들 수 있습니다. 예를 들어
*.example.com
은www.example.com
및images.example.com
을 보호합니다.참고
와일드카드 인증서를 요청할 때 별표(
*
)는 도메인 이름의 맨 왼쪽에 와야 하며 하나의 하위 도메인 수준만 보호할 수 있습니다. 예를 들어*.example.com
은login.example.com
및test.example.com
을 보호할 수 있지만test.login.example.com
은 보호할 수 없습니다. 또한*.example.com
은example.com
의 하위 도메인만 보호하고 베어 또는 apex 도메인(example.com
)은 보호하지 못합니다. 하지만 요청에서 여러 도메인 이름을 지정하여 베어 또는 apex 도메인과 하위 도메인을 보호하는 인증서를 요청할 수 있습니다. 예를 들어example.com
및*.example.com
을 보호하는 인증서를 요청할 수 있습니다. - 주요 알고리즘
-
인증서는 반드시 알고리즘과 키 크기를 지정해야 합니다. 현재 에서는 다음과 같은 RSA 타원 곡선 디지털 서명 알고리즘 (ECDSA) 공개 키 알고리즘을 지원합니다. ACM ACM별표 (*) 로 표시된 알고리즘을 사용하여 새 인증서 발급을 요청할 수 있습니다. 나머지 알고리즘은 가져온 인증서에 대해서만 지원됩니다.
참고
CA에서 AWS Private CA서명한 사설 PKI 인증서를 요청하는 경우 지정된 서명 알고리즘 패밀리 (RSA또는ECDSA) 가 CA 보안 키의 알고리즘 패밀리와 일치해야 합니다.
-
RSA1024비트 ()
RSA_1024
-
RSA2048비트 () *
RSA_2048
-
RSA3072 비트 ()
RSA_3072
-
RSA4096비트 ()
RSA_4096
-
ECDSA256비트 () *
EC_prime256v1
-
ECDSA384비트 () *
EC_secp384r1
-
ECDSA521비트 ()
EC_secp521r1
ECDSA키는 더 작아서 키에 필적하는 RSA 보안을 제공하지만 컴퓨팅 효율성은 더 높습니다. 그러나 모든 네트워크 클라이언트에서 지원되는 ECDSA 것은 아닙니다. 에서 NIST
발췌한 다음 표에는 다양한 크기의 키의 대표적인 보안 강도가 RSA 나와 ECDSA 있습니다. 모든 값에 대한 단위는 비트입니다. 알고리즘과 키의 보안 비교보안 강도
RSA키 크기
ECDSA키 사이즈
128
3072 256 192
7680 384 256
15360 521 2의 거듭제곱으로 이해되는 보안 강도는 암호화를 해제하는 데 필요한 추측의 수와 연관되어 있습니다. 예를 들어, 3072비트 키와 256비트 RSA ECDSA 키 모두 최대 2 128 추측으로 검색할 수 있습니다.
알고리즘 선택에 도움이 되는 자세한 내용은 인증서 평가 및 사용 방법에
대한 AWS 블로그 게시물을 참조하십시오. ECDSA AWS Certificate Manager 중요
통합 서비스에서는 리소스와의 연결이 지원되는 알고리즘과 키 크기만 허용합니다. 또한 인증서를 가져오는지 IAM 또는 내부로 가져왔는지에 따라 지원이 달라집니다. ACM 자세한 내용은 각 서비스에 대한 문서를 참조하십시오.
-
Elastic Load Balancing에 대해서는 애플리케이션 로드 밸런서의 HTTPS 리스너를 참조하십시오.
-
에 CloudFront 대해서는 지원되는SSL/TLS프로토콜 및 암호를 참조하십시오.
-
- Punycode
-
다국어 도메인 이름
과 관련된 다음 Punycode 요구 사항을 충족해야 합니다. -
‘<character><character>--’ 패턴으로 시작하는 도메인 이름은 ‘xn--’과 일치해야 합니다.
-
‘xn--’으로 시작하는 도메인 이름도 유효한 다국어 도메인 이름이어야 합니다.
Punycode 예제도메인 이름
#1 충족
#2 충족
허용
참고
example.com
해당 사항 없음
해당 사항 없음
✓
‘<character><character>--’로 시작하지 않음
a--example.com
해당 사항 없음
해당 사항 없음
✓
‘<character><character>--’로 시작하지 않음
abc--example.com
해당 사항 없음
해당 사항 없음
✓
‘<character><character>--’로 시작하지 않음
xn—xyz.com
예
예
✓
유효한 다국어 도메인 이름(简.com으로 확인)
xn--example.com
예
아니요
✗
유효한 다국어 도메인 이름이 아님
ab--example.com
아니요
아니요
✗
‘xn--’으로 시작해야 함
-
- 예외
-
유의할 사항:
-
ACMEV (확장 유효성 검사) 인증서 또는 OV (조직 유효성 검사) 인증서를 제공하지 않습니다.
-
ACMSSL/TLS프로토콜 이외의 다른 것에 대한 인증서는 제공하지 않습니다.
-
전자 메일 암호화에는 ACM 인증서를 사용할 수 없습니다.
-
ACM현재 인증서에 대한 ACM관리 인증서 갱신을 옵트아웃할 수 없습니다. 또한 가져온 인증서에는 관리형 갱신을 사용할 수 없습니다ACM.
-
amazonaws.com, cloudfront.net 또는 elasticbeanstalk.com으로 끝나는 이름과 같이 Amazon 소유 도메인 이름에 대한 인증서를 요청할 수 없습니다.
-
ACM인증서의 개인 키는 다운로드할 수 없습니다.
-
Amazon Elastic Compute Cloud (AmazonEC2) 웹 사이트 또는 애플리케이션에는 ACM 인증서를 직접 설치할 수 없습니다. 그러나 통합서비스 중 어떠한 것을 사용하든지 인증서를 설치할 수 있습니다. 자세한 내용은 다음과 통합된 서비스 AWS Certificate Manager 단원을 참조하십시오.
-