AWS Certificate Manager características e limitações do certificado público

Os certificados do ACM são da confiança de todos os principais navegadores, incluindo Google Chrome, Microsoft Edge, Mozilla Firefox e Apple Safari. Os navegadores exibem um ícone de cadeado quando conectados por TLS a sites que usam certificados do ACM. Java também confia nos certificados do ACM.

Os certificados públicos que você solicitou por meio do ACM são obtidos da Amazon Trust Services, uma autoridade de certificação (CA) pública gerenciada pela Amazon. O Amazon Root CAs 1 a 4 tem assinatura cruzada pela Starfield G2 Root Certificate Authority — G2. A raiz Starfield é confiável no Android (versões mais novas do Gingerbread) e iOS (versão 4.1+). As raízes da Amazon são confiáveis no iOS 11+. Navegadores, aplicativos, OSes incluindo raízes da Amazon ou Starfield, confiarão nos certificados públicos do ACM.

O ACM emite certificados preliminares ou de entidade final aos clientes por meio de certificados intermediários CAs, atribuídos aleatoriamente com base no tipo de certificado (RSA ou ECDSA). O ACM não fornece informações intermediárias de CA devido a essa seleção aleatória.

Os certificados do ACM têm validação de domínio, identificando somente um nome de domínio. Ao solicitar um certificado do ACM, você deve provar a propriedade ou o controle de todos os domínios especificados. Você pode validar a propriedade usando e-mail ou DNS. Para obter mais informações, consulte Validação de e-mail do AWS Certificate Manager e Validação de DNS do AWS Certificate Manager.

O ACM oferece suporte à validação HTTP para verificação da propriedade do domínio ao emitir certificados TLS públicos para uso com. CloudFront Esse método usa redirecionamentos HTTP para provar a propriedade do domínio e oferece renovação automática semelhante à validação de DNS. Atualmente, a validação de HTTP só está disponível por meio do recurso CloudFront Distribution Tenants.

Para validação por HTTP, o ACM fornece um URL RedirectFrom e um URL RedirectTo. Você deve configurar um redirecionamento de RedirectFrom para RedirectTo para demonstrar controle do domínio. O RedirectFrom URL inclui o domínio validado, enquanto RedirectTo aponta para um local controlado pelo ACM na CloudFront infraestrutura contendo um token de validação exclusivo.

Os certificados no ACM gerenciados por outro serviço mostram a identidade desse serviço no campo ManagedBy. Para certificados usando validação HTTP com CloudFront, esse campo exibe “CLOUDFRONT”. Esses certificados só podem ser usados por meio de CloudFront. O ManagedBy campo aparece em DescribeCertificate e e ListCertificates APIs nas páginas de detalhes e inventário de certificados no console do ACM.

O campo ManagedBy é mutuamente excludente com o atributo “Pode ser usado com”. Para certificados CloudFront gerenciados, você não pode adicionar novos usos por meio de outros AWS serviços. Você só pode usar esses certificados com mais recursos por meio da CloudFront API.

A Amazon pode descontinuar uma CA intermediária sem aviso prévio para manter uma infraestrutura de certificados resiliente. Essas mudanças não afetam os clientes. Para obter mais informações, consulte “Amazon apresenta autoridades de certificação intermediárias dinâmicas”.

Se a Amazon descontinuar uma CA raiz, a alteração ocorrerá tão rapidamente quanto necessário. A Amazon usará todos os métodos disponíveis para notificar AWS os clientes Health Dashboard, incluindo e-mail e contato com gerentes técnicos de contas.

Os certificados de entidade final revogados usam OCSP e CRLs para verificar e publicar informações de revogação. Alguns firewalls de clientes podem precisar de regras adicionais para permitir esses mecanismos.

Use esses padrões curingas de URL para identificar o tráfego de revogação:

Um asterisco (*) representa um ou mais caracteres alfanuméricos, um ponto de interrogação (?) representa um único caractere alfanumérico e um símbolo do jogo da velha (#) representa um número.

Os certificados devem especificar um algoritmo e um tamanho de chave. O ACM oferece suporte aos seguintes algoritmos de chave pública RSA e ECDSA:

O ACM pode solicitar novos certificados usando os algoritmos marcados com um asterisco (*). Os outros algoritmos são somente para certificados importados.

As chaves ECDSA são menores e mais eficientes computacionalmente do que as chaves RSA de segurança comparável, mas nem todos os clientes de rede oferecem suporte ao ECDSA. Esta tabela, adaptada do NIST, compara os tamanhos das chaves RSA e ECDSA (em bits) para obter força de segurança equivalente:

A força de segurança, como uma potência de 2, está relacionada ao número de tentativas necessárias para quebrar a criptografia. Por exemplo, uma chave RSA de 3072 bits e uma chave ECDSA de 256 bits podem ser recuperadas com não mais de ^2.128 suposições.

Para obter ajuda na escolha de um algoritmo, consulte a postagem do AWS blog Como avaliar e usar certificados ECDSA em. AWS Certificate Manager

O ACM gerencia a renovação e o provisionamento dos certificados correspondentes. A renovação automática ajuda a evitar tempo de inatividade devido a certificados com erros de configuração, revogados ou expirados. Para obter mais informações, consulte Renovação gerenciada do certificado em AWS Certificate Manager.

Cada certificado do ACM deve incluir pelo menos um nome de domínio totalmente qualificado (FQDN) e pode incluir mais nomes. Por exemplo, um certificado para www.example.com também pode incluir www.example.net. Isso também se aplica a domínios simples (ápex da zona ou domínios nus). Você pode solicitar um certificado para www.example.com e incluir example.com. Para obter mais informações, consulte AWS Certificate Manager certificados públicos.

Os requisitos de Punycode a seguir para Nomes de domínio internacionalizados devem ser atendidos:

Os certificados do ACM são válidos por 13 meses (395 dias).

O ACM permite um asterisco (*) no nome de domínio para criar um certificado curinga para proteger vários sites no mesmo domínio. Por exemplo, *.example.com protege www.example.com e images.example.com.

Em um certificado curinga, o asterisco (*) deve estar na posição mais à esquerda do nome do domínio e só protege um nível de subdomínio. Por exemplo, *.example.com protege login.example.com e test.example.com, mas não test.login.example.com. Além disso, *.example.com protege apenas os subdomínios, não o domínio vazio ou apex (example.com). É possível solicitar um certificado para um domínio vazio e seus subdomínios especificando vários nomes de domínio, como example.com e *.example.com.