AWS Certificate Manager (ACM) – Bewährte Methoden

AWS Certificate Manager (ACM) ist der von Amazon verwaltete Service zum Ausstellen, Bereitstellen und Erneuern von SSL/TLS-Zertifikaten für AWS-Ressourcen. Eine fehlerhafte Konfiguration des Zertifikatslebenszyklus ist wichtig, da sie zu Ausfällen, fehlgeschlagenen Audits und offengelegten privaten Schlüsseln führen kann. Empfohlene Maßnahmen: Aktivieren Sie die DNS-Validierung, setzen Sie IAM-Richtlinien mit minimalen Berechtigungen durch, rotieren und protokollieren Sie jedes Zertifikatsereignis und entscheiden Sie sorgfältig zwischen der Verwendung von AWS-verwalteten Schlüsseln und der externen Schlüsselverwaltung.

Veröffentlicht: August 2020. Aktualisiert: August 2026. Verfasst von Aditi Goel; geprüft vom PKI & Cloud Key Management Advisory Team von Encryption Consulting.

Was ist AWS Certificate Manager (ACM)?

AWS Certificate Manager (ACM) ist ein verwalteter Dienst, der öffentliche und private SSL/TLS-Zertifikate für Workloads auf Amazon Web Services bereitstellt, implementiert und erneuert. ACM stellt Zertifikate von der öffentlichen Zertifizierungsstelle (CA) von Amazon oder der privaten AWS-Zertifizierungsstelle (ehemals ACM Private CA) aus. Dadurch können kleine und mittelständische Teams ihre eigene Public-Key-Infrastruktur (PKI) aufbauen , ohne selbst CA-Software betreiben zu müssen. Elastic Load Balancing, Amazon CloudFront, Elastic Beanstalk und API Gateway nutzen ACM-Zertifikate nativ.

Für die umfassendere Architektur hinter der privaten CA-Option von ACM lesen Sie PKI auf Amazon Web Services.

Warum sind ACM Best Practices für die Compliance wichtig?

Die Einhaltung der Best Practices des ACM gewährleistet, dass die Ausstellung, Speicherung und der Widerruf von Zertifikaten den Kontrollen entsprechen, die der Payment Card Industry Data Security Standard (PCI DSS) , NIST SP 800-57 und regionale Rahmenwerke wie APRA CPS 234 im Rahmen eines Audits überprüfen. Auditoren suchen nach Nachweisen für Schlüsselschutz, Zugriffskontrolle und Protokollierung und nicht nur nach einer gültigen Zertifikatskette. Die in diesem Artikel beschriebenen Praktiken dienen daher dazu, diese Nachweise zu erbringen und nicht nur eine einfache Browserprüfung zu bestehen.

Sollten Sie die nativen Tasten von ACM oder eine externe Tastensteuerung verwenden?

Verwenden Sie die nativen, von AWS verwalteten Schlüssel von ACM für alle Zertifikate, die direkt von einem in AWS integrierten Dienst verwendet werden, und reservieren Sie BYOK oder HYOK für Workloads, bei denen eine Aufsichtsbehörde, ein Vertrag oder eine interne Richtlinie den Nachweis der Verwahrung des privaten Schlüsselmaterials vorschreibt. Die richtige Wahl ist ein Spektrum, keine binäre Entscheidung, und die meisten Unternehmen nutzen mehrere Modelle gleichzeitig.

Der externe Schlüsselspeicher von AWS KMS verwendet doppelte Verschlüsselung: Daten werden zunächst mit einem Schlüssel innerhalb des KMS Ihres AWS-Kontos verschlüsselt und anschließend mit dem Schlüssel Ihres externen Schlüsselmanagers erneut verschlüsselt. Ohne diesen externen Schlüssel ist die Wiederherstellung des Chiffretextes unmöglich. Ob BYOK (Bring Your Own Key) oder HYOK (Hyper Owner Owned Key) die richtige Wahl ist, hängt hauptsächlich davon ab, wo das ursprüngliche Schlüsselmaterial aus rechtlichen oder vertraglichen Gründen gespeichert werden muss. Einen vollständigen Vergleich von BYOK und HYOK finden Sie in unserer Erklärung zu Hybrid-KMS. Wenn Sie eine FIPS-konforme Schlüsselverwaltung benötigen, ohne die Hardware selbst betreiben zu müssen, empfehlen wir HSM-as-a-Service .

Wie sieht das IAM-Modell für ACM aus?

ACM verfügt über keine eigenen ressourcenbasierten Richtlinien. Der Zugriff wird ausschließlich über IAM-identitätsbasierte Richtlinien gesteuert, die Benutzern und Rollen zugeordnet sind, sowie über KMS-Berechtigungen für jeden privaten Schlüssel, der außerhalb des automatischen Erneuerungsprozesses von ACM tatsächlich verwendbar ist. Eine ACM-Konfiguration nach dem Prinzip der minimalen Berechtigungen umfasst fünf Schritte:

1. Separate AWS-Konten oder Organisationseinheiten für Produktions- und Test-/Entwicklungszertifikate, damit eine kompromittierte Testrolle niemals Zugriff auf ein Produktionszertifikat hat.
2. Gewähren acm:RequestCertificate, acm:DescribeCertificate und acm:ListCertificates auf Rollen, nicht auf einzelne Benutzer, und diese nach Möglichkeit mit Ressourcen-ARNs abzugrenzen.
3. Ablehnen kms:CreateGrant standardmäßig, und erlauben Sie es nur, wenn kms:EncryptionContext:aws:acm:arn Der Bedingungsschlüssel stimmt mit einer genehmigten Zertifikats-ARN überein.
4. Multi-Faktor-Authentifizierung für administrative Aktionen privater AWS-Zertifizierungsstellen erforderlich, einschließlich CreateCertificateAuthority und ScheduleCertificateAuthorityDeletion.
5. Die Ergebnisse des IAM Access Analyzers sollten vierteljährlich für jede mit ACM und Private-CA verknüpfte Rolle überprüft werden.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyGrantExceptApprovedCert",
      "Effect": "Deny",
      "Action": "kms:CreateGrant",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "kms:EncryptionContext:aws:acm:arn": "arn:aws:acm:us-east-1:111122223333:certificate/EXAMPLE-CERT-ID"
        }
      }
    }
  ]
}

Diese Richtlinie lehnt ab kms:CreateGrant für jedes Zertifikat außer dem einen ARN, den Sie angeben, sodass eine Rolle nur Berechtigungen für Zertifikate anfordern kann, für die sie explizit zuständig ist – adaptiert von AWS selbst ACM-Best-Practice-Dokumentation.

Wie sollte man die Zertifikatsrotation im ACM handhaben?

Von ACM direkt ausgestellte, DNS-validierte öffentliche Zertifikate werden automatisch erneuert und rotiert – beginnend 60 Tage vor Ablauf für ältere Zertifikate mit 395 Tagen Gültigkeitsdauer und 45 Tage vor Ablauf für die neue Standardgültigkeitsdauer von 198 Tagen. Importierte Zertifikate oder außerhalb von ACM verwaltete Schlüssel werden nicht automatisch erneuert und benötigen eine explizite Rotationsrichtlinie.

• Verwenden Sie die DNS-Validierung anstelle der E-Mail-Validierung, damit die Verlängerung niemals davon abhängt, dass jemand innerhalb eines Validierungszeitraums auf eine E-Mail reagiert.
• Verwenden Sie in einer Anwendung niemals ein von ACM verwaltetes Zertifikat als Stammzertifikat. Die automatische Verlängerung von ACM generiert jedes Mal ein neues Schlüsselpaar, wodurch das Anheften von Zertifikaten oder öffentlichen Schlüsseln unterbunden wird. Verwenden Sie stattdessen die Amazon-Stammzertifizierungsstelle oder Ihre eigene private Stammzertifizierungsstelle als Stammzertifikat.
• Für symmetrische AWS-KMS-Schlüssel kann die automatische Rotation in einem konfigurierbaren Intervall von 90 bis 2,560 Tagen (ca. sieben Jahre) aktiviert werden. Asymmetrische und HMAC-KMS-Schlüssel sind von der automatischen Rotation ausgeschlossen und müssen durch die Erstellung eines neuen Schlüssels rotiert werden.
• Importiertes KMS-Schlüsselmaterial unterstützt die Rotation auf Abruf – bis zu zehn Rotationen während der Lebensdauer des Schlüssels – für Organisationen, die außerhalb des automatischen Zeitplans rotieren müssen, ohne die Referenz der Schlüssel-ID-Anwendungen zu ändern.
• Verfolgen Sie den Ablauf des CA/B-Forums: Maximale Gültigkeitsdauer 200 Tage ab dem 15. März 2026, 100 Tage ab dem 15. März 2027 und 47 Tage ab dem 15. März 2029 (Wahlzettel SC-081v3). Leitfaden zur 47-tägigen Zertifikatsautomatisierung behandelt die mathematischen Grundlagen des Verlängerungszeitraums im Detail.

Was sollten Sie für ACM und KMS protokollieren und überwachen?

Aktivieren Sie AWS CloudTrail, bevor Sie Ihr erstes ACM-Zertifikat ausstellen, nicht erst danach. CloudTrail erfasst jeden ACM-API-Aufruf – Ausstellung, Verlängerung, Löschung, Export – zusammen mit der aufrufenden Identität, der Quell-IP-Adresse und dem Zeitstempel. Außerdem werden KMS-Verwaltungsaufrufe (Erstellen, Rotieren, Deaktivieren, Richtlinienänderungen) und kryptografische KMS-Aufrufe (Verschlüsseln, Entschlüsseln, Generieren von Datenschlüsseln) separat erfasst.

• Alarm an ScheduleCertificateAuthorityDeletion und jegliche Änderung der Root-CA-Richtlinie – diese sind im Falle einer Nichtautorisierung katastrophal.
• Warnung bei Zertifikatsexportereignissen, da ein exportierter privater Schlüssel den automatischen Rotationsschutz von ACM vollständig verlässt.
• Warnung bei wiederholten Validierungsfehlern oder blockierten DNS-Einträgen, die oft auf ein Zertifikat hinweisen, dessen Verlängerungsfrist verpasst wird.
• Binden Sie CloudTrail in CloudWatch-Alarme oder Ihr SIEM ein und bewahren Sie Protokolle so lange auf, bis die Anforderungen Ihres Compliance-Frameworks hinsichtlich der Rückschauzeit erfüllt sind (PCI DSS verlangt mindestens zwölf Monate, wobei die drei aktuellsten Protokolle sofort verfügbar sein müssen).

Wie viel kostet ACM tatsächlich?

Von AWS-integrierten Diensten direkt verwendete ACM-Zertifikate sind kostenlos; Sie zahlen nur, wenn Sie ein exportierbares Zertifikat oder Ihre eigene private Zertifizierungsstelle benötigen. AWS senkte die Preise für exportierbare Zertifikate, als die standardmäßige Gültigkeitsdauer öffentlicher Zertifikate am 18. Februar 2026 auf 198 Tage verkürzt wurde.

Der Preis des kurzlebigen Modus ist genau auf das hohe Emissionsvolumen ausgelegt, das 47-Tage-Zertifikate erzeugen – es lohnt sich also, ihn vor dem Ablauf der Gültigkeit im Jahr 2029 zu modellieren, nicht danach.

Wie sieht eine Multi-Cloud-Zertifikats- und Schlüsselarchitektur mit ACM aus?

In einer Multi-Cloud-Umgebung sollte ACM als ein regionaler Ausstellungsendpunkt unterhalb einer zentralen Zertifikatslebenszyklusverwaltungsschicht (CLM) fungieren, die auch mit Azure Key Vault, Google Cloud CAS und allen lokalen Zertifizierungsstellen kommuniziert – und nicht als isolierte, ausschließlich auf AWS basierende Datenquelle. Ein gängiges Muster ist das Hub-and-Spoke-Modell: Eine zentrale Richtlinien- und Überwachungsschicht kommuniziert mit der jeweiligen nativen Zertifizierungsstelle jeder Cloud, einschließlich der privaten AWS-Zertifizierungsstelle, während ACME-Clients wie cert-manager die Ausstellung innerhalb des Clusters und der VPC für den jeweils nächstgelegenen Knotenpunkt übernehmen.

Die vollständige Referenzarchitektur, einschließlich der Integrationsmuster für cert-manager und Kubernetes, die in der AWS-Dokumentation nicht behandelt werden, finden Sie in unserem Leitfaden zur Multi-Cloud-PKIaaS-Architektur für AWS, Azure und GCP . Wenn Sie sich zwischen einer Eigenentwicklung und dem Betrieb als Dienst entscheiden müssen, hilft Ihnen die Übersicht „Selbstverwaltete PKI vs. PKIaaS“ mit einer Bewertungsmatrix bei dieser Entscheidung.

Welche Einschränkungen gibt es beim AWS Certificate Manager?

ACM ist keine vollständige Plattform für das Zertifikatslebenszyklusmanagement und hat einige Schwächen, die man kennen sollte, bevor man sie als Standard einführt.

• Sie können einer bestehenden Zertifizierungsstelle keine Domain hinzufügen oder entfernen. Sie müssen ein komplett neues Zertifikat beantragen und jede Domain, einschließlich der bereits validierten, erneut validieren lassen.
• Der private Schlüssel der Stammzertifizierungsstelle von AWS Private CA kann niemals exportiert werden. Daher bedeutet eine spätere Migration, dass die gesamte Zertifikatskette neu ausgestellt werden muss.
• ACM ist regional ausgerichtet; eine globale oder regionsübergreifende Infrastruktur erfordert eine explizite Replikations- oder Föderationsstrategie, keine Standardeinstellung.
• Öffentliche Zertifikate werden in öffentlichen Certificate Transparency-Protokollen protokolliert – geben Sie niemals vertrauliche Informationen im Domänennamen eines Zertifikats an.
• Das native Schlüsselverwaltungsmodell von ACM bietet keine HYOK-Option. HYOK erfordert die separate Konfiguration des externen AWS KMS-Schlüsselspeichers, und dieser deckt nur KMS-geschützte Daten ab, nicht aber die ACM-Zertifikate selbst.

AWS ACM Best Practices Checklist

Diese zwölf Praktiken überprüfen wir als Erstes bei einer AWS PKI-Bewertung, ungefähr in der Reihenfolge, in der sie tendenziell wichtig sind:

1. Ablaufdatum des Zertifikats überwachen. Auch bei DNS-validierten Zertifikaten mit automatischer Verlängerung sollten Sie die Ablaufdaten direkt überwachen; importierte Zertifikate und Sonderfälle werden nicht automatisch verlängert.
2. Zertifikatsanfragen umgehend prüfen. DNS-Validierung vorziehen; E-Mail-Validierungsanfragen verfallen, wenn sie nicht bearbeitet werden, und können die Ausstellung eines neuen Dienstes unterbrechen.
3. Minimieren Sie die Verwendung von Root-CAs. Stellen Sie die täglichen Zertifikate von einer Zwischenzertifizierungsstelle aus und bewahren Sie die Stammzertifizierungsstelle in einem separaten, streng geschützten Konto auf.
4. Erzwingen Sie TLS 1.2 oder höher und bevorzugen Sie TLS 1.3. SSL und TLS 1.0/1.1 sollten vollständig deaktiviert werden; beide erfüllen weder die aktuellen PCI-DSS- noch die Browseranforderungen.
5. Schützen Sie private Schlüssel. Bevorzugen Sie ACM-generierte Schlüssel; wenn Sie Zertifikate importieren, fordern Sie starke Schlüsselparameter (mindestens RSA 2048-Bit oder ECDSA P-256/P-384).
6. Vermeiden Sie nach Möglichkeit Wildcard-Zertifikate. Ein Zertifikat mit nur einer Domäne pro Host begrenzt den Wirkungsradius, falls auch nur ein Schlüssel kompromittiert wird.
7. Zertifikatsimporte einschränken Zertifikate und Schlüssel werden ausschließlich von vertrauenswürdigen, überprüfbaren Quellen bezogen.
8. Verwenden Sie immer einen vollqualifizierten Domänennamen (FQDN). Im Zertifikat darf niemals ein Alias ​​angegeben werden.
9. Überprüfen Sie regelmäßig Ihren Zertifikatsbestand.und automatisieren Sie das Audit mit AWS Config-Regeln anstatt mit einer manuellen vierteljährlichen Tabellenkalkulation.
10. CloudTrail- und CloudWatch-Alarme aktivieren vor Ihrer ersten Zertifikatsanforderung, nicht nach einem Vorfall.
11. Niemals ein von ACM verwaltetes Zertifikat anheften. Die automatische Erneuerung dreht das Schlüsselpaar und bricht den Stift.
12. Entscheiden Sie sich im Voraus für Ihr Schlüsselkontrollmodell. Dokumentieren Sie in Ihrem CP/CPS, ob eine Arbeitslast native ACM/KMS-Schlüssel, BYOK oder HYOK verwendet, bevor Sie über eine Handvoll Zertifikate hinaus skalieren.

Was würde Encryption Consulting empfehlen?

ACM ist eine solide Standardlösung für Zertifikate, die ausschließlich innerhalb von AWS-nativen Diensten verwendet werden. In diesem Fall besteht kein Grund, für etwas anderes zu bezahlen. Sobald Zertifikats- und Schlüsseloperationen AWS, Azure und GCP umfassen müssen oder eine Aufsichtsbehörde den Nachweis der Schlüsselverwaltung außerhalb von AWS verlangt, ist ACM nicht mehr ausreichend. In unseren Projekten liegt das wiederkehrende Problem nicht in einem einzelnen schwachen Zertifikat, sondern darin, dass ACM als zentrales System für eine umfassende Zertifikatslandschaft verwendet wird, für die es nie konzipiert wurde. Wir empfehlen, ACM als einen Registrierungsendpunkt unter einem einheitlichen Zertifikatslebenszyklusmanager wie CertSecure Manager zu betreiben und die Schlüsselverwaltung über PKI-as-a-Service oder HSM-as-a-Service abzuwickeln , wenn HYOK erforderlich ist. So vermeiden wir, dass die ACM-Konsole die einzige Möglichkeit bietet, den vollständigen Zertifikatsstatus einzusehen.

Häufig gestellte Fragen

Unterstützt ACM Hold Your Own Key (HYOK)?

Nicht direkt für ACM-Zertifikate. Das AWS-Äquivalent zu HYOK, der KMS External Key Store (XKS), speichert einen Schlüssel außerhalb von AWS und erfordert, dass AWS für jede kryptografische Operation Ihren externen Schlüsselmanager kontaktiert. XKS schützt jedoch KMS-verschlüsselte Daten, nicht die privaten Schlüssel von ACM-Zertifikaten, die ACM immer selbst generiert und speichert, es sei denn, Sie importieren ein Zertifikat.

Ist AWS Certificate Manager kostenlos?

Öffentliche Zertifikate, die direkt mit AWS-integrierten Diensten wie Elastic Load Balancing, CloudFront und API Gateway verwendet werden, sind kostenlos. Sie zahlen lediglich für exportierbare öffentliche Zertifikate (7 US-Dollar/FQDN, 79 US-Dollar/Wildcard), ACME-ausgestellte Zertifikate außerhalb des kostenlosen Kontingents sowie für AWS Private CA, für die eine monatliche Gebühr pro Zertifizierungsstelle zuzüglich der Kosten für die Zertifikatsausstellung anfällt.

Kann ich den privaten Schlüssel aus einem von ACM ausgestellten Zertifikat exportieren?

Nur wenn Sie ausdrücklich ein exportierbares öffentliches Zertifikat angefordert haben, für das eine eigene Gebühr pro FQDN anfällt. Standardmäßige ACM-Zertifikate, die mit AWS-integrierten Diensten verwendet werden, generieren einen privaten Schlüssel, der systembedingt niemals außerhalb von ACM zugänglich ist.

Was geschieht mit meinen Zertifikaten im Rahmen des kürzeren Gültigkeitszeitraums des CA/B-Forums?

Wenn Ihre Zertifikate DNS-validiert sind und sich automatisch verlängern, treten keine automatischen Probleme auf; ACM stellt neue öffentliche Zertifikate bereits standardmäßig alle 198 Tage aus. Das eigentliche Risiko besteht bei Zertifikaten, die außerhalb des automatischen Verlängerungsprozesses von ACM ausgestellt, importiert oder festgelegt wurden. Für diese ist ein konkreter Plan erforderlich, bevor sich der Zeitplan im März 2027 auf 100 Tage und im März 2029 auf 47 Tage verkürzt.

Sollte ich stattdessen eine private AWS-Zertifizierungsstelle oder einen verwalteten PKI-Dienst verwenden?

AWS Private CA eignet sich optimal, wenn alle Ihre Zertifikatsnutzer innerhalb von AWS ansässig sind. Wenn Sie Zertifikate auch für Azure, GCP, lokale Server oder Nicht-AWS-Kubernetes-Cluster ausstellen, ist eine verwaltete PKI-as-a-Service- Schicht, die mit AWS Private CA zusammenarbeitet, in der Regel kostengünstiger in der Entwicklung als die Wartung paralleler, voneinander getrennter CA-Hierarchien pro Cloud.

Wenn Ihre Organisation Unterstützung bei der Implementierung oder Föderation von AWS Certificate Manager und AWS Private CA in ein umfassenderes PKI-Programm benötigt, wenden Sie sich bitte an [email protected].