AWS Certificate Manager による証明書管理

再利用しやすいように、変数にプライベート CA ARN を設定します。

PCA_ARN="arn:aws:acm-pca:region:account:certificate-authority/12345678..."

OpenSSL を使用して ECDSA P-256 プライベートキー (prime256v1 曲線) と証明書署名リクエスト (CSR) を生成し、ACM インポートに必要なプライベートキーを暗号化しないままにするために -nodes フラグが使用されていることを確認します。

openssl req -new -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -nodes \
    -keyout private.key \
    -out request.csr \
    -subj "/CN=client.example.com"

CSR を AWS プライベート CA に送信して証明書を発行すると、新しく発行された証明書の ARN が返されます。

CERT_ARN=$(aws acm-pca issue-certificate \
    --certificate-authority-arn "$PCA_ARN" \
    --csr fileb://request.csr \
    --signing-algorithm "SHA256WITHECDSA" \
    --validity Value=365,Type="DAYS" \
    --template-arn arn:aws:acm-pca:::template/EndEntityCertificate/V1 \
    --query 'CertificateArn' --output text)

リーフ証明書とチェーンの両方を返す get-certificate コマンドを使用して AWS PCA から証明書バンドルを取得し、jq を使用してそれらを個別のファイルに分離します。

# Retrieve the full certificate bundle in JSON format
aws acm-pca get-certificate \
    --certificate-authority-arn "$PCA_ARN" \
    --certificate-arn "$CERT_ARN" \
    --output json > full_cert.json

# Split into Leaf and Chain
jq -r '.Certificate' full_cert.json > leaf_cert.pem
jq -r '.CertificateChain' full_cert.json > cert_chain.pem

CLI でバイナリファイルデータを正しく処理するには、fileb:// プロトコルを使用して、暗号化されていないプライベートキー、リーフ証明書、証明書チェーンを AWS ACM にインポートします。

aws acm import-certificate \
    --certificate fileb://leaf_cert.pem \
    --private-key fileb://private.key \
    --certificate-chain fileb://cert_chain.pem \
    --region us-east-1 \
    --query 'CertificateArn' \
    --output text