SEC09-BP01 實作安全金鑰和憑證管理
Transport Layer Security (TLS) 憑證可用來保護網路通訊，和建立網際網路跟私有網路中的網站、資源和工作負載的身份。
預期成果： 能夠在公開金鑰基礎設施 (PKI) 佈建、部署、儲存和更新憑證的安全憑證管理系統。安全金鑰與憑證管理機制可以防止憑證私有金鑰資料外洩，也能定期自動更新憑證。它也能與其他服務整合，為工作負載內的機器資源提供安全的網路通訊和身分識別。金鑰資料絕不可供真人身分存取。
常見的反模式：
-
在憑證部署或更新程序期間執行手動步驟。
-
設計私有 CA 時，請忽略憑證授權單位 (CA) 階層。
-
針對公用資源使用自我簽署憑證。
建立此最佳實務的優勢：
-
透過自動化部署和更新來簡化憑證管理
-
鼓勵使用 TLS 憑證加密傳輸中的資料
-
增加憑證授權單位所採取憑證動作的安全性和可稽核性
-
在 CA 階層中不同層次的管理責任組織
未建立此最佳實務時的曝險等級： 高
實作指引
現代工作負載可透過利用 TLS 等 PKI 通訊協定，來廣泛使用加密網路通訊。PKI 憑證管理可能很複雜，但自動化憑證佈建、部署和更新可以減少憑證管理相關障礙。
AWS 提供兩種管理一般用途 PKI 憑證的服務： AWS Certificate Manager 和 AWS 私有憑證授權單位 (AWS 私有 CA)ACM 是客戶在公有和私有 AWS 工作負載中，用來佈建、管理和佈數憑證的主要服務。ACM 則使用 AWS 私有 CA 的公有憑證授權單位來發行憑證，並 整合 至許多其他 AWS 受管服務，以提供安全的工作負載 TLS 憑證。
AWS 私有 CA 可讓您建立自己的根憑證授權單位或下層憑證授權單位，並透過 API 發行 TLS 憑證。在您控制和管理 TLS 連線用戶端信任鏈時，您可以使用這些憑證類型。除了 TLS 使用案例之外，AWS 私有 CA 可以用來發行憑證給 Kubernetes pods、重要裝置產品證明、程式碼簽署，以及其他使用案例，過程中搭配 自訂範本。您也可以使用 IAM Roles Anywhere 提供臨時 IAM 憑證給具有您私有 CA 簽發 X.509 憑證的內部部署工作負載。
除了 ACM 和 AWS 私有 CA 之外， AWS IoT Core 也為物聯網裝置提供特別支援，用來佈建、管理和部署 PKI 憑證。AWS IoT Core 提供特別機制給 上線物聯網裝置。 大規模提供特別機制至您的公有金鑰基礎設施。
建立私有 CA 階層時的考量
您要建立私有 CA 時，請務必特別留意，預先正確設計 CA 階層。建立私有 CA 階層時，最佳做法是將 CA 階層的每個層級部署到個別 AWS 帳戶。這個刻意的步驟會減少 CA 階層中每個層級的界面面積，讓您更容易察覺 CloudTrail 日誌資料的異常狀況，並在出現未經授權的帳戶存取動作時降低存取或影響範圍。根 CA 應位於自己的個別帳戶中，且只能用來發行一個或多個中繼 CA 憑證。
接著，請在不同於根 CA 帳戶的其他帳戶中建立一個或多個中繼 CA，為終端使用者、裝置或其他工作負載發行憑證。最後，請將憑證從根 CA 發行至中繼 CA，這個動作會將憑證發行給您的終端使用者或裝置。如需深入了解 CA 部署規畫和 CA 階層設計，包括恢復能力、跨區域複寫、在組織中共用 CA 等規畫，請參閱 規劃您的 AWS 私有 CA 部署。
實作步驟
-
決定使用案例所需的相關 AWS 服務：
-
許多使用案例都可以利用 AWS 的現有公有金鑰基礎設施搭配，過程中使用 AWS Certificate Manager。ACM 可用於為 Web 伺服器、負載平衡器或其他用途部署 TLS 憑證。
-
考慮 AWS 私有 CA 何時需要建立自己的私有憑證授權單位階層，或需要存取可匯出憑證的權限。ACM 可以接著用於發行 許多類型的終端實體憑證 過程中會使用 AWS 私有 CA。
-
針對必須為嵌入式物聯網 (IoT) 裝置大規模佈建憑證的使用案例，請考慮 AWS IoT Core。
-
-
盡可能實施自動憑證續約：
-
使用 使用 ACM 的受管更新 搭配 ACM 發行的憑證和 AWS 受管服務。
-
-
建立日誌和稽核軌跡：
-
啟用 CloudTrail 日誌 以追蹤對持有憑證授權單位之帳戶的存取權。請考慮在 CloudTrail 中設定日誌檔完整性驗證，以驗證日誌資料的真實性。
-
定期產出 稽核報告 ，其中列出您的私有 CA 發行或撤銷的憑證。這些報告可以匯出到 S3 儲存貯體。
-
部署私有 CA 時，您也需要建立 S3 儲存貯體來儲存憑證撤銷清單 (CRL)。如需詳細了解如何根據工作負載需求設定此 S3 儲存貯體，請參閱 規劃憑證撤銷清單 (CRL)。
-
資源
相關的最佳實務：
相關文件：
相關影片：
相關範例：
-
IOT Device Management 研討會
(包括裝置佈建)
相關工具：
