API Gateway에서 백엔드 상호 TLS에 자체 ACM 인증서 사용

백엔드 서비스에 자체 CA 서명 인증서를 제시하도록 API Gateway를 구성할 수 있습니다. 인증서를 AWS Certificate Manager(ACM)로 가져오거나 AWS Private Certificate Authority를 통해 발급합니다. 그런 다음 ACM 인증서 ARN을 API 스테이지에 연결합니다.

사전 조건

ACM 클라이언트 인증서를 구성하기 전에 다음이 있어야 합니다.

1단계: 인증서를 가져오거나 AWS Private Certificate Authority를 통해 인증서 발급

인증서를 기존 PKI에서 가져오거나 AWS Private Certificate Authority를 통해 새로 발급할 수 있습니다. 두 경로 모두 다음 단계에서 사용하는 ACM 인증서 ARN을 생성합니다.

옵션 A: 기존 PKI에서 가져오기

클라이언트 인증서 및 해당 프라이빗 키를 ACM으로 가져오려면 다음 명령을 실행합니다. 자세한 내용은 AWS Certificate Manager 사용 설명서에서 인증서 가져오기를 참조하세요.

aws acm import-certificate \
  --certificate fileb://client-cert.pem \
  --private-key fileb://private-key.pem \
  --certificate-chain fileb://ca-chain.pem \
  --region region

명령은 ACM 인증서 ARN을 반환합니다. 다음 단계를 위해 이 값을 기록합니다.

옵션 B: AWS Private Certificate Authority를 통해 인증서 요청(ACM 관리형)

ACM이 관리하고 자동 갱신할 수 있는 프라이빗 인증서를 요청하려면 다음 명령을 실행합니다. 자세한 내용은 AWS Certificate Manager 사용 설명서의 프라이빗 인증서 요청을 참조하세요.

aws acm request-certificate \
  --domain-name www.example.com \
  --certificate-authority-arn arn:aws:acm-pca:us-east-1:123456789012:certificate-authority/12345678-1234-1234-1234-123456789012 \
  --region region

명령은 ACM 인증서 ARN을 반환합니다. 다음 단계를 위해 이 값을 기록합니다.

옵션 C: AWS Private Certificate Authority를 통해 발급 및 ACM으로 가져오기

인증서 파라미터(예: 사용자 지정 확장 또는 서명 알고리즘)를 직접 제어해야 하는 경우 AWS Private Certificate Authority를 통해 인증서를 발급한 다음 ACM으로 가져올 수 있습니다. 이러한 방식으로 가져온 인증서는 ACM에서 자동으로 갱신되지 않습니다. 인증서가 인증서 요구 사항을 충족하는지 확인합니다. 프라이빗 인증서 발급에 대한 자세한 내용은 AWS Private Certificate Authority 사용 설명서의 프라이빗 최종 엔터티 인증서 발급을 참조하세요.

aws acm-pca issue-certificate \
  --certificate-authority-arn arn:aws:acm-pca:us-east-1:123456789012:certificate-authority/12345678-1234-1234-1234-123456789012 \
  --csr fileb://csr.pem \
  --signing-algorithm SHA256WITHRSA \
  --validity Value=365,Type=DAYS

2단계: ACM 인증서를 사용하도록 API 스테이지 구성

ACM 인증서 ARN이 있으면 백엔드에 인증서를 제시하도록 API 스테이지를 설정합니다.

스테이지를 구성하려면(콘솔)

스테이지를 구성하려면(AWS CLI)

다음 명령을 실행합니다.

aws apigateway update-stage \
  --rest-api-id abc123 \
  --stage-name prod \
  --patch-operations op='replace',path=/clientCertificateId,value=arn:aws:acm:us-east-1:123456789012:certificate/12345678-1234-1234-1234-123456789012

3단계: 구성 확인

API Gateway가 백엔드로 인증서를 전송하는지 확인하려면 다음 단계를 완료합니다.

백엔드가 인증서를 거부하는 경우 백엔드의 트러스트 스토어에서 인증서 체인을 검증할 수 있는지 확인합니다.

인증서 요구 사항

구성하는 리프 인증서는 다음 요구 사항을 충족해야 합니다.

인증서 갱신 및 전파

ACM에서 인증서가 변경되면 API Gateway는 업데이트를 감지하고 새 인증서를 자동으로 전파합니다. 스테이지를 재배포할 필요가 없으며 교체 중에 API에 가동 중지가 발생하지 않습니다.

인증서 전파는 최종적으로 일관됩니다. 업데이트 중에 백엔드는 전파가 완료될 때까지 이전 인증서 또는 새 인증서를 수신할 수 있습니다.

인증서 갱신 방법은 인증서 발급 방법에 따라 다릅니다.

ACM은 Amazon EventBridge를 통해 인증서 만료 알림을 보냅니다. 이러한 알림을 사용하여 인증서 만료 전 경보를 설정할 수 있습니다.

ACM 인증서 동작 및 제한 사항