CA privada da AWS Endpoints de VPC (AWS PrivateLink)

Você pode criar uma conexão privada entre sua VPC e configurar uma interface CA privada da AWS de VPC endpoint. Os endpoints de interface são alimentados por AWS PrivateLink uma tecnologia para acessar de forma privada as operações CA privada da AWS da API. AWS PrivateLink encaminha todo o tráfego de rede entre sua VPC e CA privada da AWS por meio da rede Amazon, evitando a exposição na Internet aberta. Cada VPC endpoint é representado por uma ou mais interfaces de rede elástica com endereços IP privados em suas sub-redes da VPC.

A interface VPC endpoint conecta sua VPC diretamente CA privada da AWS sem um gateway de internet, dispositivo NAT, conexão VPN ou conexão. Direct Connect Não é necessário que as instâncias na sua VPC tenham endereços IP públicos para se comunicar com a API do CA privada da AWS .

Para usar CA privada da AWS por meio de sua VPC, você deve se conectar a partir de uma instância que esteja dentro da VPC. Como alternativa, você pode conectar sua rede privada à sua VPC usando um AWS Virtual Private Network (Site-to-Site VPN) ou. Direct Connect Para obter informações sobre Site-to-Site VPN, consulte Conexões VPN no Guia do usuário do Amazon VPC. Para obter informações sobre a Direct Connect, consulte Criar uma conexão no Manual do usuário da Direct Connect .

CA privada da AWS não requer o uso de AWS PrivateLink, mas nós o recomendamos como uma camada adicional de segurança. Para obter mais informações sobre endpoints AWS PrivateLink de VPC, consulte Acessando serviços por meio de. AWS PrivateLink

Considerações para CA privada da AWS Endpoints da VPC

Antes de configurar a interface para os endpoints da VPC CA privada da AWS, esteja ciente das seguintes considerações:

CA privada da AWS Atualmente, a API oferece suporte a endpoints de VPC nos seguintes casos: Regiões da AWS

Criação de endpoints VPC para CA privada da AWS

Você pode criar um endpoint de VPC para o CA privada da AWS serviço usando o console VPC em https://console.aws.amazon.com/vpc/ ou o. AWS Command Line Interface Para obter mais informações, consulte o procedimento de criação de um endpoint de interface no Guia do usuário do Amazon VPC. CA privada da AWS suporta fazer chamadas para todas as suas operações de API dentro da sua VPC.

Se você habilitou nomes de host DNS privados para o endpoint, o endpoint padrão do CA privada da AWS agora será resolvido para o endpoint de VPC. Para obter uma lista abrangente de endpoints de serviço padrão, consulte Endpoints e cotas de serviço.

Se você não habilitar nomes de host DNS privados, a Amazon VPC fornecerá um nome de endpoint DNS que você poderá usar no seguinte formato:

vpc-endpoint-id.acm-pca.region.vpce.amazonaws.com

Para obter mais informações, consulte CA privada da AWS VPC endpoints (AWS PrivateLink) no Guia do usuário do Amazon VPC.

Crie uma política de endpoint de VPC para CA privada da AWS

Você pode criar uma política para endpoints do Amazon VPC CA privada da AWS para especificar o seguinte:

Para obter mais informações, consulte Controle do acesso a serviços com VPC Endpoints no Guia do Amazon VPC.

Exemplo — política de endpoint de VPC para CA privada da AWS actions

Quando anexada a um endpoint, a política a seguir concede acesso a todos os diretores às CA privada da AWS ações IssueCertificateDescribeCertificateAuthority,GetCertificate, GetCertificateAuthorityCertificateListPermissions, e. ListTags O recurso em cada estrofe é uma CA privada. A primeira estrofe autoriza a criação de certificados de entidade final usando a CA privada especificada e o modelo de certificado. Se você não quiser controlar o modelo que está sendo usado, a seção Condition não será necessária. No entanto, remover isso permite que todos os principais criem certificados CA bem como certificados de entidade final.

{
      "Statement":[
         {
            "Principal":"*",
            "Effect":"Allow",
            "Action":[
               "acm-pca:IssueCertificate"
            ],
            "Resource":[
               "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
            ],
            "Condition":{
               "StringEquals":{
                  "acm-pca:TemplateArn":"arn:aws:acm-pca:::template/EndEntityCertificate/V1"
               }
            }
         },
         {
            "Principal":"*",
            "Effect":"Allow",
            "Action":[
               "acm-pca:DescribeCertificateAuthority",
               "acm-pca:GetCertificate",
               "acm-pca:GetCertificateAuthorityCertificate",
               "acm-pca:ListPermissions",
               "acm-pca:ListTags"
            ],
            "Resource":[
               "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
            ]
         }
      ]
   }