Beperkingen van AWS Certificate Manager: Waar ACM tekortschiet voor Enterprise PKI

AWS Certificate Manager (ACM) is een gratis, volledig beheerde service die TLS-certificaten uitgeeft en vernieuwt voor AWS-geïntegreerde services zoals ELB, CloudFront en API Gateway. De automatisering, inventarisatie en gratis prijsstelling stoppen echter bij AWS. Bedrijven met een multi-cloud-, hybride- of grote certificaatomgeving hebben behoefte aan een leveranciersneutrale laag voor certificaatlevenscyclusbeheer (CLM).

AWS Certificate Manager (ACM) is een beheerde service die TLS/SSL-certificaten voor AWS-geïntegreerde services levert, implementeert en vernieuwt. Het is uitgegroeid tot het standaard startpunt voor TLS-certificaten in het AWS-ecosysteem, en terecht: het is gratis voor geïntegreerde services, volledig beheerd en na configuratie vrijwel onzichtbaar. Maar certificaatbeheer blijft zelden volledig binnen de AWS-grenzen.

Naarmate bedrijven hun workloads spreiden over meerdere clouds, on-premises infrastructuur en een groeiend aantal certificeringsinstanties, verschuift de vraag van "Is ACM goed?" naar "Waar houdt ACM op voldoende te zijn?". Deze blog beantwoordt die vraag. Het beschrijft waar ACM daadwerkelijk thuishoort, de praktische beperkingen waar PKI- teams tegenaan lopen zodra ze verder gaan dan AWS-native services, de economische factoren die deze beperkingen bepalen, en hoe een leveranciersneutraal CLM-platform de hiaten opvult, met name nu de geldigheidsduur van certificaten korter wordt en de transitie na het kwantumtijdperk de druk verhoogt.

Kort antwoord: Waar schiet AWS Certificate Manager tekort?

AWS Certificate Manager is gratis en uitstekend geschikt voor TLS-certificaten op AWS-services die geïntegreerd zijn met ACM (ELB, CloudFront, API Gateway). De automatisering, inventarisatie en gratis prijsstelling stoppen echter bij AWS . Zodra een certificaat wordt geïmplementeerd op een niet-AWS-eindpunt, meerdere accounts of regio's omvat, of auditklare compliance-rapportage vereist, is ACM alleen onvoldoende en is een leveranciersonafhankelijke CLM-laag nodig.

Key Takeaways

• ACM is bijzonder geschikt voor AWS-native workloads op ACM-geïntegreerde services, maar het implementeert geen certificaten buiten dat domein.
• Uit de Trust Pulse Survey van DigiCert (2 juli 2025) bleek dat 45 procent van de organisaties het afgelopen jaar te maken heeft gehad met uitval als gevolg van certificaatproblemen, en dat 37.5 procent een storing specifiek kon herleiden tot een verlopen certificaat. Dit is precies het risico dat handmatige, niet-AWS-gebaseerde certificaatverwerking met zich meebrengt.
• Het voorstel SC-081v3 van het CA/Browser Forum (goedgekeurd op 14 april 2025) verlengt de maximale geldigheidsduur van openbare TLS-verbindingen van 200 dagen (maart 2026) naar 100 dagen (maart 2027) naar 47 dagen (maart 2029). Hierdoor wordt elke handmatige onderbreking in de automatisering van ACM een terugkerende, oplopende kostenpost.
• Op G2 heeft AWS Certificate Manager een score van 4.5 uit 5 op basis van 55 beoordelingen, en CertSecure Manager een score van 4.8 uit 5 op basis van 3 beoordelingen, beide gecontroleerd op 13 augustus 2026; AWS Private CA heeft geen onafhankelijke vermelding op G2 of Capterra.
• De PKI-, beveiligings-, platform- en compliance-teams zijn elk verantwoordelijk voor een specifieke actie; de ​​onderstaande matrix met verantwoordelijkheden en acties en de tabel met aankoopbeslissingen geven precies aan wat en wie verantwoordelijk is.

Ga direct naar: Samenvatting | Checklist gereedheid | Vergelijking van leveranciers | Beslissingstabel voor kopers | Functiematrix | Eigenaar/Actiematrix | Wat te doen? | Veelgestelde vragen

Samenvatting voor de teams PKI, Beveiliging, Platform en Compliance

Als u een van deze functies leidt, vindt u hier de beslissing die in dit artikel wordt ondersteund en de bijbehorende beknopte actiehandleiding.

• PKI-teams: Behoud ACM voor AWS-geïntegreerde services en evalueer een leveranciersneutraal CLM-platform zodra u meer dan één CA, meer dan één cloud of een aanzienlijke on-premises infrastructuur beheert.
• Beveiligingsteams: Beschouw elk certificaat dat buiten ACM-geïntegreerde services wordt geïmplementeerd als een handmatig proces totdat het tegendeel is bewezen, en dicht die kloof met gesloten-lusautomatisering.
• Platform-/DevSecOps-teams: Bouw één inventaris en één verlengingswachtrij voor alle AWS-accounts, regio's, andere clouds en on-premises endpoints, in plaats van tools per account en per regio.
• Nalevingsteams: Bevestig dat u op aanvraag een auditklaar rapport op certificaatniveau kunt genereren voor uw gehele IT-omgeving, en niet alleen voor het AWS-native gedeelte dat ACM bestrijkt.

Snelle gereedheidschecklist

Gebruik deze checklist om te bepalen of ACM alleen nog voldoende is voor uw omgeving.

• Controleer of er certificaten worden ingezet op eindpunten die niet met AWS zijn geïntegreerd (EC2 met NGINX, on-premises F5, Azure, GCP, CDN's van derden).
• Controleer of uw certificaatinventaris meerdere AWS-accounts of -regio's omvat en of u een uniforme weergave daarvan hebt.
• Gecontroleerd of het mogelijk is om een ​​nalevingsrapport op certificaatniveau te genereren (eigenaar, algoritme, vervaldatum, naleving van beleid) zonder handmatig spreadsheetwerk.
• Bevestigd of uw certificaatstrategie bestand is tegen het verplaatsen van workloads naar een andere cloudprovider zonder een volledige heropbouw.
• Er is een model ontwikkeld voor de verlengingsfrequentie bij een geldigheidsduur van 47 dagen, en niet alleen bij de huidige maximale ACM-periode van 13 maanden.

Wie moet zich druk maken over de beperkingen van ACM en de CLM-uitspraak?

De beslissing om verder te gaan dan ACM is niet de verantwoordelijkheid van één enkel team. PKI-teams zijn weliswaar verantwoordelijk voor de architectuur, maar beveiligingsteams, platformengineers, compliance-teams en CISO's hebben elk specifieke taken om ervoor te zorgen dat het certificatenportfolio volledig beheerd, geautomatiseerd en auditklaar is, ongeacht waar de certificaten worden ingezet of welke CA ze heeft uitgegeven.

Rol	Waarom het uitmaakt	Actie-item
PKI- en certificeringsteams	Neem de architectuurbeslissing in eigen hand: evalueer of ACM alleen voldoende is voor het huidige certificaatportfolio, of dat de combinatie van meerdere CA's, meerdere clouds, on-premises endpoints of compliance-rapportagevereisten een leveranciersneutrale CLM-laag vereist; de deadline van het CA/Browser Forum SC-081v3 (47 dagen tot maart 2029) maakt de beslissing tijdgevoelig, omdat de automatiseringskloof voor niet-AWS endpoints operationeel onhoudbaar wordt bij een hoge vernieuwingsfrequentie; de ​​AWS Private CA-prijs per CA ($400/maand voor algemeen gebruik, $50/maand voor kortlopende certificaten) moet ook worden afgestemd op het volume en de hiërarchie voordat voor die aanpak wordt gekozen.	Breng het volledige certificaatportfolio in kaart aan de hand van de beslissingstabel voor kopers en de functiematrix in dit bericht; identificeer elk certificaat dat buiten ACM-geïntegreerde services is geïmplementeerd en bevestig dat het zich in een gesloten, geautomatiseerd verlengingsproces bevindt; modelleer de kosten van AWS Private CA's aan de hand van een hiërarchie met twee niveaus, inclusief HA tussen regio's; evalueer CertSecure Manager als de CLM-laag die ACM, AWS Private CA, Microsoft AD CS, HashiCorp Vault PKI, DigiCert en Entrust via één console verbindt; gebruik CBOM Secure om certificaten in alle AWS-accounts en -regio's te ontdekken voordat er een CLM-architectuur wordt gekozen.
Beveiligingsarchitecten	Het dichten van de automatiseringskloof voor niet-AWS-endpoints en de crypto-agility-architectuur: de architectonische afhankelijkheid van ACM van AWS betekent dat een CA-wantrouwgebeurtenis, het uitfaseren van een algoritme of een wijziging van de cloudprovider vereist dat de CLM-stack opnieuw wordt opgebouwd in plaats van dat het beleid opnieuw wordt geconfigureerd; NIST FIPS 203/204/205 (definitief vastgesteld op 13 augustus 2024) vereisen dat RSA- en elliptische-curve-algoritmen tegen 2030 in het volledige certificaatportfolio worden vervangen volgens NIST IR 8547, en die migratie vereist een CLM-platform dat van nature CA-agnostisch is; een platform dat architectonisch aan ACM is gekoppeld, kan een CA- of algoritme-wissel niet uitvoeren als een beleidswijziging.	Ontwerp de CLM-laag zodanig dat deze leveranciersneutraal en CA-onafhankelijk is, zodat een CA-wissel, algoritmewijziging of overstap naar een andere cloudprovider een herconfiguratie van het beleid is in plaats van een volledige heropbouw; voer een PQC-gereedheidsbeoordeling uit via PQC-gereedheid diensten om de huidige blootstelling aan certificaatalgoritmen te classificeren aan de hand van de NIST IR 8547-afschrijvingsmijlpalen; het volgen van de planning voor post-quantummigratie via de PQC Centrum van Uitmuntendheid; bevestig dat elk certificaatvernieuwingsproces voor niet-AWS-eindpunten volledig geautomatiseerd is vóór de 100-dagenfase van SC-081v3 in maart 2027.
Platform- en DevSecOps-teams	Automatisering van certificaatbeheer en -vernieuwing over meerdere accounts, regio's en clouds heen: de inventaris van ACM is beperkt tot één AWS-account en -regio, waardoor 48 logische inventarissen worden aangemaakt voor een implementatie met 12 accounts en 4 regio's, zonder een native overzicht in één dashboard; de vereiste van CloudFront dat certificaten zich in us-east-1 bevinden, creëert dubbele certificaatinventarissen voor implementaties in meerdere regio's zonder automatische synchronisatie; Kubernetes-workloads die meerdere clouds omvatten, kunnen ACM niet gebruiken voor certificaatbeheer buiten EKS; CI/CD-pipelines die certificaten uitgeven via DevOps-tools (cert-manager, certbot) hebben een ACME-eindpunt nodig dat werkt in de cloud en on-premises, niet alleen binnen AWS.	Bouw één inventaris en één verlengingswachtrij voor alle AWS-accounts en -regio's, Azure, GCP, on-premises en Kubernetes-clusters met behulp van een CLM-platform met native cross-environment discovery; integreer ACME-inschrijving in alle serviceprovisioning-pipelines, zodat cloud-native en DevOps-workloads zich via hetzelfde protocol inschrijven bij het CLM-platform in plaats van via accountspecifieke ACM-eindpunten; test een inventarisweergave voor alle accounts vóór de 100-dagenfase van SC-081v3 in maart 2027; voeg monitoring van certificaatvervaldatum voor alle niet-AWS-eindpunten toe aan de platformwaarschuwingen.
Compliance	Eigen, auditklare rapportage voor het volledige certificaatportfolio: ACM produceert geen compliance-rapporten op certificaatniveau voor PCI DSS, HIPAA, SOC 2 of DORA zonder aangepaste AWS Config-regels, Lambda-functies en handmatige spreadsheet-samenstelling; de kloof tussen wat ACM biedt en wat auditors vereisen (details op certificaatniveau, inclusief eigenaar, algoritme, vervaldatum, naleving van beleid en uitgevende CA in alle omgevingen) is de meest consequent onderschatte operationele kosten van het uitsluitend gebruiken van ACM in een gereguleerde onderneming; uit de DigiCert Trust Pulse Survey (2 juli 2025) bleek dat 45 procent van de bedrijven te maken had met downtime als gevolg van certificaten, en auditbevindingen met betrekking tot certificaatbeheer zijn een direct gevolg van dezelfde inventarislacune.	Bevestig dat nalevingsrapporten op certificaatniveau op aanvraag en volgens een vast schema kunnen worden gegenereerd zonder handmatige samenstelling van spreadsheets; neem certificaatbeheer op in het driemaandelijkse bewijsmateriaal voor naleving: algoritmeclassificatie, volledigheid van eigendom, dekking van vervaldatumbewaking en automatiseringspercentage van verlenging; koppel de fasedata van CA/B Forum SC-081v3 (200 dagen maart 2026, 100 dagen maart 2027, 47 dagen maart 2029) aan interne mijlpalen voor naleving met betrekking tot de gereedheid voor automatisering van verlenging; bevestig dat het auditspoor van het CLM-platform voldoet aan PCI DSS 4.0-vereiste 10, de HIPAA-vereisten voor auditregistratie, de SOC 2-beschikbaarheidscontroles en de DORA-vereisten voor ICT-risicobeheer.
CISO's	ACM vormt op zichzelf al een risico op bestuursniveau in een multi-cloud- of hybride omgeving: uit de DigiCert Trust Pulse Survey (2 juli 2025) bleek dat 45 procent van de bedrijven te maken had met downtime als gevolg van certificaten en dat 37.5 procent een storing kon herleiden tot een verlopen certificaat; de 47-dagen CA/B Forum-verplichting maakt van elk handmatig certificaatproces een storing die acht keer per jaar optreedt in plaats van één keer; de architectonische afhankelijkheid van ACM vóór de overgang naar het post-quantum-tijdperk betekent dat de CLM-stack opnieuw moet worden opgebouwd wanneer RSA en ECC na 2030 worden uitgefaseerd, in plaats van opnieuw geconfigureerd; uit het State of the Cloud Report 2024 van Flexera bleek dat 89 procent van de bedrijven multi-cloud heeft omarmd, waardoor de AWS-beperking een strategisch risico vormt voor de meeste gereguleerde organisaties.	Investeer in een leveranciersneutraal CLM-programma als een strategische investering met verantwoordelijkheid op C-level niveau, en niet als een tactische beslissing per team over de benodigde tools; eis dat de volledigheid van de certificaatinventaris en de dekking van de automatisering van verlengingen worden gerapporteerd als KPI's op bestuursniveau; evalueer PKI als een service voor organisaties die een volledig beheerde PKI-laag nodig hebben met ingebouwde disaster recovery, compliance-ondersteuning en mogelijkheden voor post-quantum migratie; verplicht dat de planning voor post-quantum algoritmemigratie voor alle certificaatpopulaties wordt opgenomen in de jaarlijkse PKI-programma-evaluatie; volg de voortgang van de PQC-migratie via de PQC Centrum van Uitmuntendheid

Waar ACM wel en waar het niet past

Als uw volledige workload zich achter een Application Load Balancer bevindt, met Amazon CloudFront als front-end en beschikbaar via Amazon API Gateway, is AWS Certificate Manager (ACM) werkelijk moeilijk te overtreffen. Het verstrekt gratis openbare TLS-certificaten voor deze geïntegreerde services, zorgt voor de verlenging ervan en de operationele overhead is vrijwel nihil. Voor teams die volledig met AWS werken en een beperkte infrastructuur hebben, is het een van de betere beheerde services die AWS te bieden heeft.

De problemen beginnen zodra uw certificaatbeheer de AWS-grens overschrijdt. De meeste bedrijven waarmee we bij Encryption Consulting samenwerken, zijn geen pure AWS-klanten. Ze gebruiken een mix van on-premises Microsoft AD CS, externe certificeringsinstanties zoals DigiCert of Entrust voor publiek vertrouwde certificaten, HashiCorp Vault PKI voor service mesh- en DevOps-workloads, en een groot aantal workloads op F5 BIG-IP, NGINX, Apache Tomcat en IIS die niets met AWS te maken hebben.

Volgens het State of the Cloud Report 2024 van Flexera heeft ongeveer 89% van de bedrijven multi-cloud geïmplementeerd, en Gartner voorspelt dat meer dan 90% van de organisaties in 2027 een hybride cloud zal gebruiken. In die wereld is een CLM-tool die slechts één cloudprovider in één regio kan beheren, op zijn best een gedeeltelijke oplossing.

Deze blog bespreekt de praktische beperkingen van ACM waar PKI-teams daadwerkelijk tegenaan lopen tijdens implementaties in grote bedrijven, de economische aspecten ervan en hoe een leveranciersneutraal CLM-platform zoals CertSecure Manager van Encryption Consulting de hiaten opvult die ACM openlaat.

ACM versus AWS Private CA: een korte opfrissing

Voordat we verdergaan, is het goed om twee AWS-services die vaak door elkaar worden gehaald, van elkaar te scheiden. AWS heeft in september 2022 de naam van "ACM Private CA" gewijzigd in "AWS Private CA", en dit onderscheid is belangrijk wanneer u prijsinformatie bekijkt of inschrijvingsprocessen ontwerpt.

AWS Certificate Manager (ACM) is de lifecycle-service. Het geeft openbare TLS-certificaten uit, implementeert ze en verlengt ze via de openbare CA van Amazon. Daarnaast fungeert het als beheerlaag voor privécertificaten die zijn uitgegeven door AWS Private CA. Openbare certificaten die uitsluitend via ACM worden gebruikt met geïntegreerde AWS-services (ELB, CloudFront, API Gateway, App Runner en vergelijkbare services) zijn gratis.

AWS Private CA is de beheerde infrastructuur voor privé-CA's. Het beheert uw CA-hiërarchie met hardwarematig beveiligde sleutels volgens FIPS 140-2 , maar u betaalt een maandelijks bedrag per CA plus kosten per uitgegeven certificaat.

De onderstaande beperkingen gelden voor beide, omdat ze voor de meeste teams als één geheel worden aangeboden.

De praktische beperkingen van AWS Certificate Manager

1. Het gratis openbare certificaat was nooit echt van jou.

Het belangrijkste kenmerk van ACM is het gratis openbare TLS-certificaat, maar de privésleutel voor een 'standaard' openbaar ACM-certificaat kan niet worden geëxporteerd. Het certificaat kan alleen worden gekoppeld aan ACM-geïntegreerde AWS-services. Als uw TLS-eindpunt iets anders is (een EC2-instantie met NGINX, een on-premises F5, een Azure App Service, een GCP-loadbalancer, een CDN van een derde partij, een hardware-appliance), kan het gratis ACM-certificaat daar simpelweg niet worden ingezet. U zult uiteindelijk parallelle workflows moeten uitvoeren: één door ACM beheerde workflow voor AWS-geïntegreerde services en een volledig apart proces voor al het andere. Dat leidt tot operationele schulden die zich opstapelen.

AWS heeft dit in juni 2025 gedeeltelijk aangepakt met exporteerbare openbare certificaten, waarmee je de privésleutel kunt downloaden en het certificaat overal kunt implementeren. De flexibiliteit is aanzienlijk, maar de economische gevolgen veranderen drastisch:

• $7 per volledig gekwalificeerde domeinnaam (FQDN), te berekenen bij uitgifte en opnieuw bij elke verlenging.
• $79 per wildcard-naam (bijvoorbeeld *.yourdomain.com), wederom bij uitgifte en bij elke verlenging.
• ACM-certificaten hebben een maximale geldigheidsduur van 13 maanden en moeten na 11 maanden worden verlengd, wat betekent dat verlengingen tegenwoordig ongeveer één keer per jaar plaatsvinden.

Dat lijkt bescheiden totdat je de berekening op bedrijfsniveau maakt. Met de gefaseerde verkorting van de geldigheidsduur door het CA/Browser Forum (200 dagen vanaf maart 2026, 100 dagen vanaf maart 2027, 47 dagen vanaf maart 2029) zullen verlengingen binnen drie jaar van jaarlijks naar ongeveer elke zes weken gaan. Vermenigvuldig dat met 500 of 5,000 FQDN's en de "gratis certificaatbeheerder" wordt een terugkerende kostenpost per certificaat die lineair meegroeit met het aantal certificaten.

De conclusie is niet dat exporteerbare certificaten onredelijk zijn, maar dat het prijsmodel van ACM is ontworpen voor intern gebruik binnen AWS. Zodra je het daarbuiten brengt, verandert het kostenmodel fundamenteel en betaal je per certificaat kosten bovenop de automatiseringsinfrastructuur die je nog moet bouwen voor de implementatie.

2. Automatisering stopt bij de AWS-grens.

Binnen AWS is ACM uitstekend. Vernieuwingen op ELB, CloudFront, API Gateway en vergelijkbare services worden geruisloos afgehandeld. Het certificaat wordt vernieuwd, de geïntegreerde service neemt het nieuwe certificaat over en de operator hoeft verder niets te doen.

Buiten AWS implementeert ACM niets. Voor een exporteerbaar certificaat bestemd voor een on-premises F5, een NGINX-server, een Citrix ADC, een Kubernetes-ingress die niet in EKS is opgenomen, of een ander niet-AWS-eindpunt, eindigt de verantwoordelijkheid van ACM bij de API-aanroep. U kunt zich abonneren op Amazon EventBridge voor meldingen over verlenging, maar de daadwerkelijke provisioning, sleutelrotatie op het apparaat, het koppelen van de virtuele server aan de load balancer, het herstarten van de luisterende service en de validatie van het nieuwe certificaat zijn volledig uw verantwoordelijkheid.

Dat betekent aangepaste scripts, aangepaste IAM-beleidsregels, aangepaste foutafhandeling en een aangepast auditlogboek. Elk team dat we hebben geholpen dit te bouwen, komt uiteindelijk neer op het opnieuw uitvinden van hetzelfde controlepaneel: een wachtrij met certificaatgebeurtenissen, een worker die het nieuwe certificaat ophaalt, een connectorbibliotheek voor elk type doel-eindpunt, een herhalingsmechanisme voor gedeeltelijke fouten en een terugdraaiplan voor het geval het nieuwe certificaat de applicatie onbruikbaar maakt. Dat is precies wat een speciaal daarvoor ontworpen CLM-platform hoort te doen, en dat is precies wat ACM niet doet zodra je de AWS-edge verlaat.

3. De voorraad is gefragmenteerd per account en regio.

De inventaris van ACM is beperkt tot één AWS-account en één regio. Als u met 12 accounts en 4 regio's werkt, moet u 48 logische certificaatinventarissen bijhouden, en er is geen native overzicht op één dashboard dat deze allemaal combineert.

De beperking van CloudFront maakt dit nog erger. Zelfs als uw applicatie volledig in ap-south-1 of eu-west-1 draait, vereist CloudFront dat het certificaat zich in us-east-1 bevindt . Een typische implementatie in meerdere regio's heeft dus hetzelfde logische certificaat in twee regio's: één in us-east-1 voor het CDN en één in de regio van de applicatie zelf voor de load balancer. Er is geen automatische synchronisatie, geen gedeelde inventaris en geen native overzicht van meerdere regio's. In de praktijk krijgen identieke domeinen afzonderlijke certificaten die onafhankelijk van elkaar worden uitgegeven en verlengd, zonder dat er een inventaris is die ze met elkaar verbindt.

Voor beveiligings- en auditteams is deze fragmentatie een groot probleem. Je kunt geen organisatiebreed beleid afdwingen ("geen RSA-2048-certificaten meer na 1 januari 2027" of "alle certificaten moeten een geregistreerde eigenaar hebben") als er geen centrale inventaris is om op te baseren. Je kunt geen cryptografische beveiligingsbeoordeling uitvoeren voorafgaand aan de post-quantummigratie als je niet kunt zien wat je hebt. En schaduwcertificaten, de certificaten die een ontwikkelaar twee jaar geleden heeft aangevraagd in een regio die niemand meer controleert, zijn precies de certificaten die op zaterdagavond storingen veroorzaken.

4. De prijzen van AWS Private CA's lopen snel op.

De gepubliceerde prijsstelling van AWS Private CA is overzichtelijk, maar de kosten lopen sneller op dan de meeste teams verwachten:

• $400 per privé-CA per maand voor algemeen gebruik (ongeacht de geldigheidsperiode)
• $50 per particuliere CA per maand voor de kortlopende certificaatmodus (maximale geldigheidsduur van 7 dagen)
• Tarieven per certificaat bij een algemene certificeringsinstantie (CA): $0.75 voor de eerste 1,000, $0.35 voor de volgende 9,000 en $0.001 boven de 10,000.
• $0.06 per certificaat per maand voor OCSP-reacties (alleen gefactureerd voor certificaten die daadwerkelijk OCSP-vragen ontvangen)

Voor een typische hiërarchie met twee niveaus (één offline root-CA en één online uitgevende CA) betaalt u $ 800 per maand, nog voordat er één certificaat wordt uitgegeven. Voeg daar hoge beschikbaarheid tussen regio's aan toe en de kosten kunnen gemakkelijk oplopen tot $ 1,600 à $ 2,400 per maand. Voor een productie- of IoT-toepassing waarbij 50,000 apparaatcertificaten per maand worden uitgegeven, zijn de kosten per certificaat redelijk dankzij de volumekorting, maar de maandelijkse kosten per CA schalen niet naar beneden: elke regionale CA, elke afzonderlijke vertrouwenshiërarchie en elke testomgeving kost hetzelfde vaste bedrag van $ 400 per maand.

Vergelijk dit met een zelfgehoste Microsoft AD CS-hiërarchie , waar de marginale kosten per certificaat na de initiële implementatie feitelijk nul zijn, of een beheerde PKI-oplossing waar de kosten anders worden afgeschreven. AWS Private CA is handig, maar niet de goedkoopste optie, en het kostenmodel beloont consolidatie in één enkele CA in plaats van de functiescheiding die veel beveiligingsteams juist willen.

5. Compliance-rapportage is een doe-het-zelf-klus.

ACM genereert geen kant-en-klare compliance-rapporten op certificaatniveau voor PCI DSS , HIPAA, SOC 2 , DORA of andere frameworks. AWS biedt wel verwante mogelijkheden (AWS Config-regels kunnen niet-conforme ACM-certificaten detecteren, Security Hub heeft standaardmappings die bevindingen signaleren, AWS Artifact biedt compliance-rapporten op serviceniveau van AWS), maar geen van deze oplossingen biedt een kant-en-klare weergave van de auditstatus van elk certificaat per afdeling, wie de eigenaar is, welk algoritme het gebruikt, wanneer het verloopt en of het bij uitgifte van het beleid is afgeweken.

Voor een gereguleerde onderneming komt die lacune aan het licht tijdens een audit. Het compliance-team vraagt: "Stel een rapport samen van elk TLS-certificaat dat onder de scope valt, met de sleutellengte, SAN-vermeldingen, eigenaar, uitgevende CA, vervaldatum en naleving van het beleid." Met ACM alleen moet je dat rapport samenstellen uit een mix van describe-certificate-aanroepen, aangepaste Lambda-functies, AWS Config-exports en een handmatig bewerkte spreadsheet. De volwassen CLM-workflow is om met één druk op de knop het rapport te ontvangen, dat wekelijks gepland staat en in de inbox van de auditor wordt bezorgd.

6. Vendor lock-in belemmert crypto-flexibiliteit

De komende jaren komen twee belangrijke verschuivingen in de sector samen, en beide vereisen flexibiliteit op het gebied van crypto:

• Het CA / Browser Forum Stembiljet SC-081v3De op 14 april 2025 goedgekeurde richtlijn verlaagt de maximale geldigheidsduur van openbare TLS-verbindingen van 398 dagen nu naar 200 dagen (maart 2026), 100 dagen (maart 2027) en TLS-certificaten met een geldigheidsduur van 47 dagen (maart 2029), per De berichtgeving van Sectigo over de stemming van het CA/Browser Forum.De periode waarin domeinvalidatie kan worden hergebruikt, wordt vanaf maart 2028 teruggebracht tot 10 dagen.
• NIST's post-kwantumcryptografie Volgens de transitieplanning moeten organisaties de verouderde RSA- en ECC-standaarden tegen 2030 uitfaseren en tegen 2035 volledig vervangen. ML-DSA en ML-KEM (FIPS 204 en 203, definitief vastgesteld op 13 augustus 2024) zijn de nieuwe standaarden. AWS is begonnen met het toevoegen van ML-DSA-ondersteuning aan AWS KMS en AWS Private CA, maar het bredere operationele verhaal van het vervangen van algoritmen binnen een hele omgeving omvat meer dan alleen één CA.

Crypto-agility is de mogelijkheid om CA's, algoritmen, sleutelgroottes, geldigheidsperioden en implementatiedoelen te wijzigen zonder uw controlelaag opnieuw te hoeven ontwerpen. Als uw certificaatbeheer architectonisch gebonden is aan één provider, beschikt u niet over crypto-agility, maar over een afhankelijkheid. Zodra AWS een prijsmodel wijzigt, een servicecontract aanpast, een functie uitfaseert of uw bedrijfsbehoeften veranderen en u workloads naar Azure of GCP moet verplaatsen, zijn de kosten voor het loskoppelen van die afhankelijkheid gelijk aan de kosten voor het opnieuw opbouwen van uw CLM-stack. Dat is een ongunstige uitgangspositie met het oog op zowel de verplichting tot 47-daagse TLS-certificaten als de PQC-migratie.

De verplichte 47-dagenperiode maakt elke lacune scherper.

Alles hierboven wordt lastiger naarmate de geldigheidsduur van certificaten korter wordt. Tegenwoordig wordt een typisch TLS-certificaat jaarlijks vernieuwd. In maart 2026 wordt dat ongeveer elke zes en een halve maand. In maart 2027 elke drie en een halve maand. In maart 2029 elke zes en een halve week.

Dat is een achtvoudige toename van de verlengingsfrequentie in minder dan drie jaar. Elke lacune in de automatisering van ACM, elke regio die je afzonderlijk moet controleren, elk eindpunt buiten de AWS-grens dat een handmatig implementatiescript vereist, elk compliance-rapport dat je handmatig samenstelt: al deze zaken schalen lineair met de verlengingsfrequentie. Een workflow die vervelend is bij een geldigheidsduur van 12 maanden, wordt operationeel onhoudbaar bij 47 dagen.

Uit het Trust Pulse-onderzoek van DigiCert, gepubliceerd op 2 juli 2025, bleek dat 45 procent van de organisaties het afgelopen jaar te maken heeft gehad met uitval als gevolg van certificaatproblemen, en dat 37.5 procent van de organisaties de oorzaak van de uitval specifiek kon herleiden tot een verlopen certificaat . Elk van de lacunes in de beveiliging van ACM, de eindpunten waarop het niet kan worden geïmplementeerd, de accounts en regio's waarover het geen inzicht heeft, is precies het soort certificaatprobleem dat handmatig wordt bijgehouden en dat in die 37.5 procent van de gevallen terechtkomt.

Dit is precies de reden waarom het gesprek in de branche zo sterk is verschoven naar closed-loop, leveranciersneutrale CLM-systemen. Niet omdat ACM slecht is, maar omdat gedeeltelijke automatisering simpelweg niet bestand is tegen grote volumes.

Vergelijking van leveranciers en diensten in deze gids

Deze handleiding vergelijkt de drie certificeringsdiensten waaruit een AWS-georiënteerde onderneming kan kiezen wanneer ACM alleen niet meer volstaat: AWS Certificate Manager zelf, AWS Private CA en een leveranciersneutraal CLM-platform, waarbij CertSecure Manager van Encryption Consulting als referentie-implementatie in die categorie wordt gebruikt. Deze drie zijn geselecteerd omdat ze samen het volledige scala aan keuzes vertegenwoordigen dat beschikbaar is voor een team dat vandaag de dag op AWS standaardiseert: volledig AWS-native blijven, de private CA-laag van AWS toevoegen of een leveranciersneutrale orchestratielaag toevoegen bovenop de CA's en clouds die u al gebruikt.

Waar een authentieke, onafhankelijk verifieerbare beoordeling bestaat, wordt deze hieronder vermeld met de bron en de datum waarop deze is gecontroleerd. Zo blijft deze vergelijking eerlijk over wat wel en niet door een derde partij is geverifieerd.

• AWS Certificate Manager (ACM): 4.5 van de 5 sterren op G2, gebaseerd op 55 recensies, gecontroleerd op 13 augustus 2026. Bekijk op G2Geen vermelding op Capterra gevonden.
• AWS Privé CA: Er bestaat geen onafhankelijke vermelding voor deze dienst op G2 of Capterra (stand 13 augustus 2026). De dienst is niet afzonderlijk opgenomen in de categorie certificaatlevenscyclusbeheer van beide platforms, waardoor hier geen beoordeling van derden wordt vermeld in plaats van het cijfer van ACM te gebruiken of een schatting te maken.
• CertSecure Manager (Encryptieconsultancy): 4.8 van de 5 sterren op G2, gebaseerd op 3 recensies, gecontroleerd op 13 augustus 2026. Bekijk op G2Geen vermelding op Capterra gevonden.

Hoe CertSecure Manager deze tekortkomingen aanpakt

CertSecure Manager , het CLM-platform van Encryption Consulting, is ontwikkeld door PKI-specialisten die dagelijks met deze scenario's te maken hebben bij klanten. Waar ACM stopt bij de AWS-grens, gaat CertSecure Manager verder:

• CertSecure Manager is een multi-CA-oplossing, ontworpen om leveranciersneutraal te zijn. Het maakt verbinding met Microsoft AD CS, AWS Private CA, HashiCorp Vault PKI, DigiCert, Entrust en andere openbare en private CA's via één console. U krijgt één inventaris, één beleidslaag en één verlengingswachtrij, ongeacht welke CA het certificaat heeft uitgegeven of in welke cloud de workload zich bevindt.
• Gesloten kring certificaat automatisering Naast AWS. Vernieuwingsagents voor Apache, Tomcat, IIS, F5 BIG-IP, NGINX en aangepaste interne applicaties verzorgen de implementatiestap die ACM niet uitvoert. De nieuwe CertSecure Manager Orchestrator voor F5Dit systeem, dat is ontwikkeld in het kader van ons partnerschap binnen het F5 Application Delivery and Security Platform Partner Program, koppelt elk certificaat automatisch aan het juiste SSL-profiel van de virtuele F5-server. Hierdoor is de handmatige koppelingsstap, die de meeste certificaatgerelateerde F5-storingen veroorzaakt, overbodig.
• Standaard registratieprotocollen. REST API- en ACME-eindpunten maken het mogelijk voor cloud-native en DevOps-workloads om zich automatisch te registreren, op dezelfde manier als bij Let's Encrypt of een standaard ACME-eindpunt. Dat betekent dat cert-manager in Kubernetes, certbot op een Linux-host of een aangepaste CI/CD-pipeline zich allemaal via hetzelfde protocol kunnen registreren.
• Gecentraliseerd overzicht van alle cloud- en on-premise-omgevingen. Geautomatiseerd. certificaatdetectie Het scant uw omgeving, bouwt een uniforme inventaris op voor AWS-accounts en -regio's, Azure, GCP, on-premises en Kubernetes-clusters, en toont eigendom, algoritme, geldigheid en beleidsnaleving voor elk certificaat in één dashboard.
• Handhaving en goedkeuring van beleid. Wereldwijd en afdelingsgericht beleid omvat de minimale sleutelgrootte, toegestane algoritmen, FIPS-goedgekeurde beperkingen, regels voor het gebruik van wildcards, regels voor hergebruik van CSR's, DNS-whitelisting voor domeinvalidatie en M-van-N-goedkeuringsworkflows voor sjablonen voor certificaten met hoge betrouwbaarheid. Dit beleid wordt gehandhaafd op het moment van uitgifte, niet achteraf.
• Auditklare compliance-rapportage. Geplande rapporten worden wekelijks of maandelijks naar de compliance-inbox verzonden, met de details op certificaatniveau die PCI DSS vereist. HIPAADit is wat er daadwerkelijk gevraagd wordt bij SOC 2- en DORA-audits. Geen handmatige export, geen samenvoeging van spreadsheets.
• Crypto-behendigheid ingebouwd. Omdat CertSecure Manager CA-agnostisch is, is het vervangen van de onderliggende CA, het overstappen naar een nieuw sleutelalgoritme of het migreren van de ene provider naar de andere een beleidswijziging in plaats van een herstructurering. Dat is belangrijk met het oog op zowel de 47-dagenperiode als de PQC-migratie. CBOM Secure breidt diezelfde ontdekking uit van certificaten naar uw volledige cryptografische vermogen, en onze CBOM: van inventarisatie tot intelligentie Deze handleiding beschrijft hoe u van die inventaris een doorlopend programma kunt maken. PQC Centrum van Uitmuntendheid en 9-fasen PQC-gereedheid Een routekaart helpt je bij het plannen van de migratie zelf.

Koopbeslissingstabel: Wat is het meest geschikt voor, wat zijn de beperkingen en wat is het bewijs?

Gebruik deze tabel om uw situatie te koppelen aan het juiste uitgangspunt, met vermelding van het bewijs achter elke rij.

Keuze	beste voor	Beperkingen	Implementatie Fit	Integraties	Transparantie van prijzen	Bewijs / Bron
AWS-certificaatbeheerder	Workloads van AWS-native oorsprong voor één account en één regio, die gebruikmaken van ACM-geïntegreerde services.	Geen implementatie buiten AWS-geïntegreerde services op de gratis tier; kosten per FQDN voor exporteerbare certificaten.	Alleen AWS-native	ELB, CloudFront, API Gateway, App Runner	Volledig gepubliceerd; gratis versie plus $7 per FQDN en $79 per wildcard voor exporteerbare certificaten.	4.5/5 op G2, 55 recensies, gecontroleerd op 13 augustus 2026
AWS privé-CA	Teams die een beheerde, privé CA-hiërarchie binnen AWS nodig hebben.	Vast maandelijks tarief per CA, ongeacht het volume; AWS-gecentreerd operationeel model.	AWS-native, uitbreidbaar via ACM-integratie	Integreert met ACM; beperkt gebruik buiten AWS-tools.	Volledig gepubliceerd; $400 of $50 per CA per maand plus tarieven per certificaat.	Geen onafhankelijke vermelding gevonden op G2 of Capterra
Leverancieronafhankelijk CLM (CertSecure Manager)	Multicloud-, hybride- of certificaatomgevingen met meer dan 1,000 certificaten die één controlepaneel nodig hebben.	Vereist een onboardingtraject om bestaande CA's en eindpunten te koppelen.	Cloud, on-premises, Kubernetes en multi-CA	Microsoft AD CS, AWS Private CA, HashiCorp Vault PKI, DigiCert, Entrust, F5, NGINX, Apache, Tomcat, IIS, ACME/REST	Gepubliceerd op aanvraag; beleidsgestuurd in plaats van per FQDN.	4.8/5 op G2, 3 recensies, gecontroleerd op 13 augustus 2026

Functie- en criteriamatrix

Deze matrix vergelijkt dezelfde drie opties aan de hand van de criteria die er het meest toe doen zodra je verder kijkt dan een eenvoudige AWS-native implementatie.

criteria	AWS-certificaatbeheerder	AWS privé-CA	Leverancieronafhankelijk CLM (CertSecure Manager)
Automatiseringsbereik	Alleen AWS-geïntegreerde services	Alleen AWS-geïntegreerde services	Gesloten systeem voor de cloud, on-premises en Kubernetes.
CA-ondersteuning	Amazon's openbare CA alleen	Je eigen privé CA-hiërarchie in AWS	Multi-CA: AD CS, AWS Private CA, HashiCorp Vault PKI, DigiCert, Entrust en anderen.
Protocolondersteuning	Alleen AWS API	Alleen AWS API	REST API en ACME, compatibel met cert-manager, certbot en CI/CD-pipelines.
Integraties	ELB, CloudFront, API Gateway, App Runner	ACM, FIPS 140-2 hardwarebeveiligde sleutels	F5 BIG-IP (met dedicated Orchestrator), NGINX, Apache, Tomcat, IIS, Kubernetes
Rapportage	Geen kant-en-klare rapporten over naleving op certificaatniveau	Geen kant-en-klare rapporten over naleving op certificaatniveau	Geplande, auditklare rapporten voor PCI DSS, HIPAA, SOC 2 en DORA.
PQC-gereedheid	ML-DSA-ondersteuning toegevoegd aan AWS KMS; cryptografische flexibiliteit op certificaatniveau wordt niet behandeld.	Ondersteuning voor ML-DSA toegevoegd; nog steeds single-CA	CA-agnostisch van aard; het wisselen van algoritmes en CA's betreft een beleidswijziging, geen heropbouw.
Implementatiemodel	AWS-native, enkel account/regio-bereik	AWS-native, maandelijkse kosten per CA	Cross-cloud, cross-account, on-premises en Kubernetes
Beoordeling / bron	4.5/5, 55 beoordelingen, G2, gecontroleerd op 13 augustus 2026	Geen onafhankelijke vermelding gevonden	4.8/5, 3 beoordelingen, G2, gecontroleerd op 13 augustus 2026

Wanneer ACM voldoende is en wanneer niet.

Niet elk team heeft een volledig CLM-platform nodig. Hieronder een praktisch overzicht van situaties waarin ACM alleen volstaat en situaties waarin het niet meer voldoende is:

Scenario	ACM alleen	Leveranciersneutraal CLM
Eén AWS-account, één regio, volledig AWS-native workloads.	Ja	Nee
Minder dan 100 certificaten, allemaal voor ACM-geïntegreerde diensten.	Ja	Nee
Multicloud (AWS + Azure en/of GCP)	Nee	Ja
Hybride cloud met on-premise infrastructuur (AD CS, F5, NGINX, Apache, IIS)	Nee	Ja
Meer dan 1,000 certificaten verspreid over meerdere certificeringsinstanties en omgevingen.	Nee	Ja
Strikte naleving van regelgeving (PCI DSS, HIPAA, SOC 2, DORA, gereguleerde sectoren)	Nee	Ja
Kubernetes en gecontaineriseerde workloads verspreid over verschillende clouds	Nee	Ja
Voorbereiding op een geldigheidsduur van 47 dagen met alle niet-AWS-eindpunten.	Nee	Ja
Het aanpakken van PQC-migratie met een heterogene CA-omgeving	Nee	Ja

Het patroon is eenvoudig. ACM is voldoende wanneer de certificaatstatus beperkt, AWS-native en klein is. Zodra aan een van deze drie voorwaarden niet meer wordt voldaan, betaalt u de prijs voor het blijven gebruiken van alleen ACM in de vorm van operationele complexiteit, problemen met audits en een verhoogd risico op storingen.

Eigenaar- en actiematrix per team

Team	Verantwoordelijkheid	Belangrijkste actie
PKI-team	Is verantwoordelijk voor de beslissing tussen alleen ACM en een leveranciersneutrale CLM-laag.	Modelcertificaatvolume en CA-diversiteit ten opzichte van de bovenstaande tabel met kopersbeslissingen
Beveiligingsteam	Het dichten van de automatiseringskloof buiten de AWS-geïntegreerde services.	Inventariseer elk certificaat dat is geïmplementeerd op een eindpunt dat niet is geïntegreerd met AWS.
Platform-/DevSecOps-team	Beheert inventaris over meerdere accounts, regio's en clouds.	Bundel het overzicht van certificaten in één dashboard in plaats van per account.
Complianceteam	Verantwoordelijk voor auditklare rapportages over het volledige certificatenportfolio.	Bevestig dat rapporten op certificaatniveau op aanvraag kunnen worden gegenereerd en niet handmatig hoeven te worden samengesteld.

Wat te doen Volgende

• PKI-teams: Gebruik de bovenstaande matrix met kenmerken en criteria om te beslissen of u dit kwartaal alleen ACM wilt blijven gebruiken of een leveranciersneutrale CLM-laag wilt toevoegen.
• Beveiligingsteams: Controleer elk certificaat dat buiten ACM-geïntegreerde services is geïmplementeerd en bevestig dat het zich in een geautomatiseerd verlengingsproces bevindt.
• Platformteams: Door vóór het verstrijken van de 100-dagen TLS-validiteitsfase in maart 2027 een pilot uit te voeren met een uniform inventarisoverzicht voor alle accounts, wordt de verlengingsfrequentie verder verhoogd.
• Nalevingsteams: Zorg ervoor dat uw volgende audit kan worden beantwoord met een gepland rapport in plaats van een handmatige spreadsheet.

Gerelateerde artikelen van Encryption Consulting

• Het automatiseren van certificaatbeheer in Azure Key Vault Dit artikel beschrijft voor Azure hetzelfde patroon van orkestratie boven native tools als voor AWS.
• Betere beveiliging met TLS-certificaten met een geldigheidsduur van 47 dagen vanaf 2029. Dit omvat het volledige validatieproces van CA/Browser Forum waarnaar in dit bericht wordt verwezen.
• Bouw een private PKI voor mTLS voordat publieke certificaten de clientAuth-functionaliteit laten vervallen. Dit artikel behandelt een ander geval waarin openbare CA-diensten, waaronder ACM, een harde limiet bereiken die wordt opgelost door een private, leveranciersneutrale PKI.
• Waarom de wijzigingen van Let's Encrypt op 13 mei belangrijk zijn Dit artikel beschrijft hoe geautomatiseerde, ARI-gestuurde vernieuwingslogica wijzigingen in openbare CA-profielen opneemt op een manier die het vaste model van ACM niet kan.

Conclusie

ACM is een echt goede service binnen de kaders waarin het is ontworpen. De fout zit hem in de aanname dat die kaders overeenkomen met de realiteit van de onderneming. De meeste organisaties werken met meerdere clouds, meerdere certificeringsinstanties (CA's) en een groot aantal on-premises endpoints die ACM niet kan bereiken. De geldigheidsduur van 47 dagen voor TLS en de PQC-migratie zullen elk hiaat in de automatisering, zichtbaarheid en beleidshandhaving van ACM aanzienlijk pijnlijker maken dan het nu al is.

De juiste aanpak is om ACM te gebruiken waar het uitblinkt (gratis openbare certificaten op AWS-geïntegreerde services, probleemloze verlengingen binnen het AWS-platform) en daar bovenop een leveranciersneutraal CLM-platform te plaatsen voor alles waarvoor ACM nooit is ontworpen. Dat geeft je de operationele eenvoud van ACM waar het werkt, en de omgevingsoverschrijdende automatisering, governance en crypto-flexibiliteit die je overal elders nodig hebt.

Deze gids, die dient als vergelijkingsmateriaal voor leveranciers en prijzen, wordt elk kwartaal herzien en direct wanneer AWS de prijzen voor ACM of AWS Private CA wijzigt, het CA/Browser Forum zijn geldigheidsschema bijwerkt of de hierboven genoemde G2-beoordelingen wijzigen.

Veelgestelde Vragen / FAQ

Wat is de belangrijkste conclusie uit AWS Certificate Manager Limitations: Where ACM Falls Short for Enterprise PKI?

ACM is binnen één AWS-account, regio en AWS-native workloadomgeving echt sterk, maar de mogelijkheden voor inventarisbeheer, automatisering en gratis prijsstelling houden op bij de AWS-grens. Bedrijven die multi-cloud-, hybride- of omgevingen met een hoog certificaatvolume beheren, ondervinden tekortkomingen op het gebied van implementatieautomatisering, inzicht in meerdere accounts en regio's, compliance-rapportage en crypto-flexibiliteit. Een leveranciersneutraal CLM-platform is ontworpen om deze tekortkomingen op te vullen.

Waarom is dit belangrijk voor PKI-teams binnen bedrijven?

Uit de Trust Pulse Survey van DigiCert (2 juli 2025) bleek dat 45 procent van de organisaties het afgelopen jaar te maken heeft gehad met downtime als gevolg van certificaatproblemen, en dat 37.5 procent een storing specifiek kon herleiden tot een verlopen certificaat. De automatisering van ACM stopt bij de AWS-grens, waardoor elk certificaat dat buiten de met ACM geïntegreerde services wordt geïmplementeerd, precies het soort certificaat is dat handmatig wordt bijgehouden en dat bijdraagt ​​aan deze storingsstatistieken. Volgens CA/B Forum SC-081v3 (goedgekeurd op 14 april 2025) wordt de geldigheidsduur van openbare TLS-certificaten in maart 2029 teruggebracht tot 47 dagen, waardoor elke handmatige onderbreking in de automatisering van ACM acht keer per jaar een risico op een storing vormt.

Welke teams zijn verantwoordelijk voor de uitvoering van deze richtlijnen?

PKI-teams zijn verantwoordelijk voor de beslissing tussen alleen ACM en een leveranciersneutrale CLM-laag; beveiligingsteams zijn verantwoordelijk voor het dichten van de automatiseringskloof buiten AWS-geïntegreerde services; platform- en DevSecOps-teams zijn verantwoordelijk voor de inventarisatie van certificaten over meerdere accounts, regio's en clouds; en compliance-teams zijn verantwoordelijk voor auditklare rapportages over het volledige certificaatportfolio. De bovenstaande matrix met verantwoordelijkheden en acties geeft een gedetailleerde uitleg per team.

Welke risico's nemen toe als ACM-beperkingen handmatig worden toegepast?

Handmatige afhandeling hiervan betekent het uitvoeren van parallelle certificaatworkflows voor elk niet-AWS-eindpunt, een gefragmenteerde inventaris over AWS-accounts en -regio's zonder een eenduidig ​​overzicht, geen auditklare compliance-rapportage zonder handmatig opgestelde spreadsheets, en een architecturale afhankelijkheid die cryptografische flexibiliteit in de weg staat vóór de PQC-overgang.

Hoe vermindert automatisering het risico op certificaatuitval?

Gesloten-lusautomatisering breidt vernieuwing, implementatie en validatie uit naar F5, NGINX, Apache, Tomcat en IIS op dezelfde manier als ACM AWS-geïntegreerde services automatiseert. Dit, in combinatie met continue detectie over accounts en clouds en het afdwingen van beleid bij uitgifte, maakt het veel minder waarschijnlijk dat een certificaat ongemerkt verloopt.

Hoe moeten organisaties succes meten nadat ze de ACM-fase hebben verlaten?

Houd het percentage certificaten bij dat onder gesloten-lusautomatisering valt versus handmatige verwerking, het aantal certificaten dat buiten de vorige centrale inventaris is gevonden, de tijd die nodig is om een ​​auditklaar compliance-rapport op te stellen en certificaatgerelateerde incidenten die verband houden met eindpunten buiten het dekkingsgebied van ACM. Rapporteer deze gegevens elk kwartaal, samen met het geldigheidsschema van het CA/Browser Forum.

Hoe hangt dit samen met de gereedheid van het TLS-certificaat binnen 47 dagen?

De vernieuwingsfrequentie verschuift van jaarlijks nu naar ongeveer elke zes weken tegen maart 2029, volgens het schema van het CA/Browser Forum. Elke handmatige onderbreking in de automatisering van ACM, elk account of elke regio die handmatig wordt gecontroleerd, elk compliance-rapport dat handmatig wordt samengesteld, schaalt lineair met die frequentie. Dit maakt een gereedheid van 47 dagen praktisch onmogelijk met ACM alleen, buiten de native AWS-omgeving.

Hoe moet dit worden aangepakt in multi-cloud- of hybride PKI-omgevingen?

Standaardiseer op een leveranciersneutraal CLM-platform voor meerdere CA's dat via één console verbinding maakt met Microsoft AD CS, AWS Private CA, HashiCorp Vault PKI, DigiCert, Entrust en andere CA's. Zo krijgen multi-cloud- en hybride PKI-omgevingen één inventaris, één beleidslaag en één vernieuwingswachtrij in plaats van aparte tools per cloud of CA.

Welke optie is het meest geschikt voor grote ondernemingen?

Volgens de bovenstaande tabel met aankoopbeslissingen zijn grote ondernemingen met multi-cloud-, hybride- of certificaatomgevingen van meer dan 1,000 certificaten consequent beter af met een leveranciersneutraal CLM-platform bovenop ACM, aangezien ACM op zichzelf nooit is ontworpen als één centraal controleplatform voor alle providers. ACM en AWS Private CA blijven alleen geschikt voor afgebakende, AWS-native omgevingen met een lager volume.

Welke criteria moeten kopers gebruiken om leveranciers te vergelijken?

Vergelijk de mate van automatisering die verder gaat dan native integraties, CA- en protocolondersteuning (ACME, REST, EST), inventarisatie en ontdekking in meerdere omgevingen, workflows voor beleidshandhaving en goedkeuring, auditklare compliance-rapportage, PQC- en crypto-agility-gereedheid, implementatiemodel en verifieerbare beoordelingen van derden met een gecontroleerde datum, precies de criteria die in de bovenstaande matrix met functies en criteria worden gebruikt.

Wat moet er elk kwartaal vernieuwd worden?

Driemaandelijks: controleer of de in deze handleiding genoemde G2-beoordelingen actueel zijn (ACM: 4.5/5 op basis van 55 beoordelingen; CertSecure Manager: 4.8/5 op basis van 3 beoordelingen; beide gecontroleerd op 13 augustus 2026); bevestig dat de prijzen voor AWS Private CA en exporteerbare ACM-certificaten niet zijn gewijzigd; controleer of het schema voor de vermindering van de geldigheidsduur van CA/Browser Forum SC-081v3 op schema ligt; controleer het percentage certificaten onder closed-loop automatisering; voer een volledige scan uit om schaduwcertificaten in nieuwe accounts of regio's te identificeren; classificeer alle certificaten aan de hand van de NIST-mijlpalen voor post-quantum-uitfasering (FIPS 203/204/205, definitief vastgesteld op 13 augustus 2024). Raadpleeg het PQC Center of Excellence voor migratieplanning na de quantum-uitfasering.