ACMcaracterísticas do certificado

Os certificados públicos que você solicita por meio ACM da Amazon Trust Services, uma autoridade de certificação pública (CA) gerenciada pela Amazon. O Amazon Root CAs 1 a 4 tem assinatura cruzada por uma raiz mais antiga chamada Starfield G2 Root Certificate Authority - G2. A raiz Starfield é confiável em dispositivos Android a partir das versões mais novas do Gingerbread e, no iOS, a partir da versão 4.1 do sistema. As raízes da Amazon são consideradas confiáveis pelo iOS a partir da versão 11. Qualquer navegador, aplicativo ou sistema operacional que inclua as raízes Amazon ou Starfield confiará nos certificados públicos obtidos deACM.

Os certificados preliminares ou de entidade final ACM emitidos aos clientes derivam sua autoridade de uma CA raiz do Amazon Trust Services por meio de qualquer um dos vários intermediários. CAs ACMatribui aleatoriamente uma CA intermediária com base no tipo de certificado (RSAouECDSA) solicitado. Como a CA intermediária é selecionada aleatoriamente após a geração da solicitação, ACM não fornece informações da CA intermediária.

ACMos certificados são confiáveis por todos os principais navegadores, incluindo Google Chrome, Microsoft Internet Explorer e Microsoft Edge, Mozilla Firefox e Apple Safari. Os navegadores que confiam em ACM certificados exibem um ícone de cadeado na barra de status ou na barra de endereço quando conectados porSSL/TLSa sites que usam ACM certificados. ACMos certificados também são confiáveis para o Java.

Para manter uma infraestrutura de certificados ágil e resiliente, a Amazon pode, a qualquer momento, optar por descontinuar uma CA intermediária sem aviso prévio. Mudanças desse tipo não têm impacto nos clientes. Para obter mais informações, consulte a postagem “Amazon introduces dynamic intermediate certificate authorities” (Amazon apresenta autoridades de certificação intermediárias dinâmicas) no blog.

No caso improvável de a Amazon descontinuar uma CA raiz, a alteração ocorrerá tão rapidamente quanto as circunstâncias exigirem. Devido ao grande impacto dessa mudança, a Amazon usará todos os mecanismos disponíveis para notificar AWS os clientes, incluindo e-mail para proprietários de contas e contato com gerentes técnicos de contas. AWS Health Dashboard

Se um certificado de entidade final não for mais confiável, ele será revogado. OCSPe CRLs são os mecanismos padrão usados para verificar se um certificado foi revogado ou não. OCSPe CRLs são os mecanismos padrão usados para publicar informações de revogação. Alguns firewalls de clientes podem precisar de regras adicionais para permitir que esses mecanismos funcionem.

O exemplo de padrões URL curinga a seguir pode ser usado para identificar o tráfego de revogação. Um caractere-curinga asterisco (*) representa um ou mais caracteres alfanuméricos, um ponto de interrogação (?) representa um único caractere alfanumérico e uma marca de hash (#) representa um número.

Os certificados do ACM têm validação de domínio. Ou seja, o campo de assunto de um ACM certificado identifica um nome de domínio e nada mais. Ao solicitar um ACM certificado, você deve validar que você possui ou controla todos os domínios especificados na solicitação. Você pode validar a propriedade usando e-mail ouDNS. Para ter mais informações, consulte Validação de e-mail e DNSvalidação.

O período de validade ACM dos certificados é de 13 meses (395 dias).

ACMgerencia o processo de renovação ACM e provisionamento dos certificados após a renovação. A renovação automática pode ajudá-lo a evitar tempo de inatividade devido a certificados configurados incorretamente, revogados ou expirados. Para obter mais informações, consulte Renovação gerenciada para ACM certificados.

Cada ACM certificado deve incluir pelo menos um nome de domínio totalmente qualificado (FQDN), e você pode adicionar outros nomes se quiser. Por exemplo, ao criar um ACM certificado parawww.example.com, você também pode adicionar o nome www.example.net se os clientes conseguirem acessar seu site usando qualquer um dos nomes. Isso também é verdadeiro para domínios vazios (também conhecidos como o apex de zona ou domínios nus). Ou seja, você pode solicitar um ACM certificado para www.exemplo.com e adicionar o nome exemplo.com. Para obter mais informações, consulte Solicitação de um certificado público.

ACMpermite que você use um asterisco (*) no nome do domínio para criar um ACM certificado contendo um nome curinga que pode proteger vários sites no mesmo domínio. Por exemplo, *.example.com protege www.example.com e images.example.com.

Um certificado deve especificar um algoritmo e um tamanho de chave. Atualmente, os seguintes algoritmos de chave pública RSA e o Elliptic Curve Digital Signature Algorithm (ECDSA) são suportados pelo. ACM ACMpode solicitar a emissão de novos certificados usando algoritmos marcados com um asterisco (*). Os algoritmos restantes são suportados somente para certificados importados.

ECDSAas chaves são menores, oferecendo segurança comparável às RSA chaves, mas com maior eficiência computacional. No entanto, não ECDSA é suportado por todos os clientes da rede. A tabela a seguir, adaptada de NIST, mostra a força de segurança representativa de RSA e ECDSA com chaves de vários tamanhos. Todos os valores estão em bits.

A força de segurança, entendida como uma potência de 2, está relacionada ao número de tentativas necessárias para quebrar a criptografia. ^{Por exemplo, tanto uma chave de 3072 bits quanto uma RSA chave de 256 bits ECDSA podem ser recuperadas com no máximo 2.128 suposições.}

Para obter informações para ajudá-lo a escolher um algoritmo, consulte a postagem do AWS blog Como avaliar e usar ECDSA certificados em AWS Certificate Manager.

É necessário satisfazer os seguintes requisitos de Punycode relacionados a Internationalized Domain Names (Nomes de domínio internacionalizados):

Observe o seguinte: