ACM憑證特性

您透過申請的公用憑證ACM是從 Amazon 受管公用憑證授權單位 (CA) Amazon 信任服務取得的。Amazon 根 CAs 1 到 4 由一個名為星空 G2 根證書頒發機構-G2 的舊根交叉簽名。Starfield 是 Android 裝置信任的根，Android Gingerbread 和 iOS 4.1 以後的版本，均將其視為信任的根。Amazon 根受 iOS 11 以後的版本所信任。任何包含 Amazon 或 Starfield 根目錄的瀏覽器、應用程式或作業系統都會信任從中ACM取得的公用憑證。

發行給客戶的葉或終端實體憑證，ACM透過數個中CAs繼資料中的任何一個，從 Amazon 信任服務根 CA 衍生其授權。ACM根據要求的憑證類型 (RSA或ECDSA) 隨機指派中繼 CA。由於中繼 CA 是在產生要求之後隨機選取的，因ACM此不會提供中繼 CA 資訊。

ACM證書是由所有主流瀏覽器，包括谷歌瀏覽器，Microsoft IE 瀏覽器和 Microsoft 邊緣，火狐瀏覽器和蘋果 Safari 瀏覽器信任。信任ACM憑證的瀏覽器透過SSL/連線TLS至使用ACM憑證的網站時，會在狀態列或網址列中顯示鎖定圖示。ACM憑證也受到 Java 的信任。

為維護彈性且靈活的憑證基礎設施，Amazon 可在未提前通知的情況下，隨時選擇停止中繼 CA。這種變動不會對客戶造成任何影響。如需詳細資訊，請參閱部落格文章 Amazon introduces dynamic intermediate certificate authorities (Amazon 推出動態中繼憑證授權機構)。

雖然不太可能發生，但萬一 Amazon 必須停止根 CA，這種變動會在有必要時立即發生。由於此類變更的巨大影響，Amazon 將使用所有可用的機制來通知 AWS 客戶，包括將電子郵件傳送給帳戶擁有者，以及向技術客戶經理拓展。 AWS Health Dashboard

如果終端實體憑證不再值得信任，該憑證就會遭到撤銷。OCSP和CRLs是用來驗證憑證是否已撤銷的標準機制。OCSP和CRLs是用來發佈撤銷資訊的標準機制。部分客戶的防火牆可能需要額外的規則來允許這些機制運作。

下列範例URL萬用字元模式可用來識別撤銷流量。星號 (*) 萬用字元代表一或多個英數字元，問號 (?) 代表一個英數字元，井字號 (#) 代表一個數字。

ACM 憑證是由網域驗證。也就是說，ACM證書的主題字段標識了域名，僅此而已。當您要求ACM憑證時，您必須驗證您擁有或控制您在要求中指定的所有網域。您可以使用電子郵件或DNS. 如需詳細資訊，請參閱 電子郵件驗證 和 DNS驗證。

ACM憑證的有效期為 13 個月 (395 天)。

ACM管理ACM憑證續約程序，並在更新憑證後佈建憑證。自動續約可協助您避免因憑證設定錯誤、撤銷或過期引起的停機時間。如需詳細資訊，請參閱ACM憑證的受管理續約。

每個ACM憑證必須包含至少一個完整網域名稱 (FQDN)，而且您可以視需要新增其他名稱。例如，當您建立ACM憑證時www.example.com，www.example.net如果客戶可以使用其中一個名稱存取您的網站，您也可以新增名稱。這也適用的 bare 網域 (也稱為 Zone Apex 或裸網域)。也就是說，您可以為 www.example.com 申請ACM憑證，然後新增名稱 Example.com。如需詳細資訊，請參閱請求公有憑證。

ACM可讓您在網域名稱中使用星號 (*) 來建立包含萬用字元名稱的ACM憑證，以保護相同網域中的多個網站。例如，*.example.com 可保護 www.example.com 和 images.example.com。

憑證必須指定演算法和金鑰大小。目前，支援下列RSA和橢圓曲線數位簽章演算法 (ECDSA) 公開金鑰演算法ACM。ACM可以使用星號 (*) 標記的演算法要求發行新憑證。其餘演算法僅支援匯入的憑證。

ECDSA金鑰較小，提供與RSA金鑰相當的安全性，但運算效率更高。不過，並ECDSA非所有網路用戶端都支援。下表從改編而來 NIST，顯示了具有各種尺寸密鑰ECDSA的代表性安全強度RSA和密鑰。所有值均以位元為單位。

安全性強度可理解為 2 的次方，與破壞加密所需的猜測次數有關。^{例如，3072 位元RSA金鑰和 256 ECDSA 位元金鑰都可以擷取，而且猜測數量不超過 2 128 次。}

如需協助您選擇演算法的資訊，請參閱如何在中評估和使用ECDSA憑證的 AWS 部落格文章 AWS Certificate Manager。

必須滿足以下與國際化網域名稱有關的 Punycode 要求：

注意下列事項：