Características e limitações do certificado público do AWS Certificate Manager

Os certificados do ACM são da confiança de todos os principais navegadores, incluindo Google Chrome, Microsoft Edge, Mozilla Firefox e Apple Safari. Os navegadores exibem um ícone de cadeado quando conectados por TLS a sites que usam certificados do ACM. Java também confia nos certificados do ACM.

Os certificados públicos que você solicitou por meio do ACM são obtidos da Amazon Trust Services, uma autoridade de certificação (CA) pública gerenciada pela Amazon. As Amazon Root CAs 1 a 4 são assinadas pela Starfield G2 Root Certificate Authority - G2. A raiz Starfield é confiável no Android (versões mais novas do Gingerbread) e iOS (versão 4.1+). As raízes da Amazon são confiáveis no iOS 11+. Os navegadores, aplicações ou sistemas operacionais que incluam as raízes da Amazon ou Starfield confiarão nos certificados públicos do ACM.

O ACM emite certificados preliminares ou da entidade final aos clientes por meio de CAs intermediárias, atribuídas aleatoriamente com base no tipo de certificado (RSA ou ECDSA). O ACM não fornece informações intermediárias de CA devido a essa seleção aleatória.

Os certificados do ACM têm validação de domínio, identificando somente um nome de domínio. Ao solicitar um certificado do ACM, você deve provar a propriedade ou o controle de todos os domínios especificados. Você pode validar a propriedade usando e-mail ou DNS. Para obter mais informações, consulte Validação de e-mail do AWS Certificate Manager e Validação de DNS do AWS Certificate Manager.

O ACM agora oferece suporte à validação por HTTP para verificação da propriedade do domínio ao emitir certificados TLS públicos para uso com o CloudFront. Esse método usa redirecionamentos HTTP para provar a propriedade do domínio e oferece renovação automática semelhante à validação de DNS. A validação por HTTP atualmente está disponível somente por meio do atributo CloudFront Distribution Tenants.

Para validação por HTTP, o ACM fornece um URL RedirectFrom e um URL RedirectTo. Você deve configurar um redirecionamento de RedirectFrom para RedirectTo para demonstrar controle do domínio. O URL RedirectFrom inclui o domínio validado, enquanto RedirectTo aponta para um local controlado pelo ACM na infraestrutura do CloudFront que contém um token de validação exclusivo.

Os certificados no ACM gerenciados por outro serviço mostram a identidade desse serviço no campo ManagedBy. Para certificados que usam a validação por HTTP com o CloudFront, esse campo exibe “CLOUDFRONT”. Esses certificados só podem ser usados por meio do CloudFront. O campo ManagedBy aparece nas APIs ListCertificates e DescribeCertificate e nas páginas de detalhes e inventário dos certificados no console do ACM.

O campo ManagedBy é mutuamente excludente com o atributo “Pode ser usado com”. Para certificados gerenciados pelo CloudFront, você não pode adicionar novos usos por meio de outros serviços da AWS. Você só pode usar esses certificados com mais recursos por meio da API do CloudFront.

A Amazon pode descontinuar uma CA intermediária sem aviso prévio para manter uma infraestrutura de certificados resiliente. Essas mudanças não afetam os clientes. Para obter mais informações, consulte “Amazon apresenta autoridades de certificação intermediárias dinâmicas”.

Se a Amazon descontinuar uma CA raiz, a alteração ocorrerá tão rapidamente quanto necessário. A Amazon usará todos os métodos disponíveis para notificar os clientes da AWS, incluindo AWS Health Dashboard, e-mail e contato com gerentes técnicos de contas.

Os certificados da entidade final revogados usam OCSP e CRLs para verificar e publicar informações de revogação. Alguns firewalls de clientes podem precisar de regras adicionais para permitir esses mecanismos.

Use esses padrões curingas de URL para identificar o tráfego de revogação:

Um asterisco (*) representa um ou mais caracteres alfanuméricos, um ponto de interrogação (?) representa um único caractere alfanumérico e um símbolo do jogo da velha (#) representa um número.

Os certificados devem especificar um algoritmo e um tamanho de chave. O ACM oferece suporte aos seguintes algoritmos de chave pública RSA e ECDSA:

O ACM pode solicitar novos certificados usando os algoritmos marcados com um asterisco (*). Os outros algoritmos são somente para certificados importados.

As chaves ECDSA são menores e mais eficientes computacionalmente do que as chaves RSA de segurança comparável, mas nem todos os clientes de rede oferecem suporte ao ECDSA. Esta tabela, adaptada do NIST, compara os tamanhos das chaves RSA e ECDSA (em bits) para obter força de segurança equivalente:

A força de segurança, como uma potência de 2, está relacionada ao número de tentativas necessárias para quebrar a criptografia. Por exemplo, uma chave RSA de 3072 bits e uma chave ECDSA de 256 bits podem ser recuperadas com não mais de ^2.128 suposições.

Para ajudar a escolher um algoritmo, consulte a publicação no blog da AWS Como avaliar e usar certificados ECDSA no AWS Certificate Manager.

O ACM gerencia a renovação e o provisionamento dos certificados correspondentes. A renovação automática ajuda a evitar tempo de inatividade devido a certificados com erros de configuração, revogados ou expirados. Para obter mais informações, consulte Renovação gerenciada de certificados no AWS Certificate Manager.

Cada certificado do ACM deve incluir pelo menos um nome de domínio totalmente qualificado (FQDN) e pode incluir mais nomes. Por exemplo, um certificado para www.example.com também pode incluir www.example.net. Isso também se aplica a domínios simples (ápex da zona ou domínios nus). Você pode solicitar um certificado para www.example.com e incluir example.com. Para obter mais informações, consulte AWS Certificate ManagerCertificados públicos da .

Os requisitos de Punycode a seguir para Nomes de domínio internacionalizados devem ser atendidos:

Os certificados do ACM são válidos por 13 meses (395 dias).

O ACM permite um asterisco (*) no nome de domínio para criar um certificado curinga para proteger vários sites no mesmo domínio. Por exemplo, *.example.com protege www.example.com e images.example.com.

Em um certificado curinga, o asterisco (*) deve estar na posição mais à esquerda do nome do domínio e só protege um nível de subdomínio. Por exemplo, *.example.com protege login.example.com e test.example.com, mas não test.login.example.com. Além disso, *.example.com protege apenas os subdomínios, não o domínio vazio ou apex (example.com). É possível solicitar um certificado para um domínio vazio e seus subdomínios especificando vários nomes de domínio, como example.com e *.example.com.