AWS Certificate Manager Privé CA

AWS Private CA (voorheen ACM Private CA) is een volledig beheerde, private certificeringsinstantie waarmee beveiligingsteams een private PKI-hiërarchie binnen AWS kunnen opzetten en beheren zonder CA-hardware aan te schaffen of te beheren. Het geeft X.509-certificaten uit voor interne TLS, mTLS, codeondertekening, IoT-apparaatidentificatie en gebruikersauthenticatie. Het aanbevolen startpunt voor de meeste teams is een hiërarchie met twee lagen: een root-CA binnen AWS Private CA en een of meer ondergeschikte CA's per omgeving, waarbij AWS KMS-klantenbeheerde sleutels worden gebruikt voor de bescherming van CA-sleutels. Een hybride model (on-premises root-CA, AWS ondergeschikte CA) is mogelijk voor organisaties met strenge eisen aan sleutelsoevereiniteit.

Kort antwoord: Wat is AWS Private CA en wanneer moet je het gebruiken?

AWS Private CA is de juiste keuze wanneer u privé X.509-certificaten moet uitgeven voor interne workloads, een CA-hiërarchie nodig hebt die uw team niet op fysieke hardware hoeft te draaien en voornamelijk in AWS werkt. Het is geen vervanging voor openbare TLS-certificaten (AWS Certificate Manager beheert deze gratis voor geïntegreerde services). Gebruik AWS Private CA voor interne serviceauthenticatie, mTLS tussen microservices, IoT-apparaatcertificaten, VPN-gebruikerscertificaten en scenario's voor codeondertekening waarbij een openbaar vertrouwde CA onnodig en onwenselijk is. De service kost $400 per CA per maand voor algemeen gebruik en $50 per CA per maand voor kortlopende certificaten (geldig tot 7 dagen), met daarbovenop getrapte kosten per certificaat.

Key Takeaways

• AWS biedt twee verschillende diensten aan: AWS Certificate Manager (ACM) biedt gratis openbare TLS-certificaten voor gebruik met geïntegreerde AWS-services, en AWS Private CA biedt privé, intern vertrouwde X.509-certificaten die samen met hun privésleutel kunnen worden geëxporteerd en overal kunnen worden gebruikt.
• Er zijn twee CA-hiërarchiemodellen beschikbaar: Private cloud (hoofd- en ondergeschikte CA's bevinden zich beide in AWS Private CA, sleutels worden beschermd door AWS KMS) en hybride cloud (hoofd-CA on-premises in uw eigen HSM, ondergeschikte CA's in AWS Private CA). Het hybride model geeft u direct beheer over de hoofdsleutel van de CA; het private cloudmodel biedt volledige cloudautomatisering.
• Twee bedrijfsmodi hebben een aanzienlijke invloed op de kosten: De algemene modus voor $400 per CA per maand ondersteunt certificaten met elke geldigheidsduur. De modus voor kortstondige certificaten voor $50 per CA per maand ondersteunt alleen certificaten met een geldigheidsduur van 7 dagen of minder, waardoor deze speciaal is ontworpen en kosteneffectief is voor service mesh-omgevingen, SPIFFE-achtige workload-identificatie en mTLS-omgevingen met hoge frequentie.
• Sleutelbeheer is een ontwerpbeslissing, geen standaardinstelling: AWS Private CA gebruikt AWS KMS om CA-sleutels te beschermen. Met standaard door AWS beheerde sleutels behoudt AWS de operationele controle. Met door de klant beheerde KMS-sleutels (BYOK) behoudt u het bronmateriaal van de sleutel en kunt u de mogelijkheid van de CA om te ondertekenen direct intrekken door de geïmporteerde sleutel te verwijderen. Een volledig HYOK-model vereist een hybride cloudarchitectuur met een on-premises root-CA.
• CA/B Forum SC-081v3 geeft de voorkeur aan de kortstondige modus voor publiek toegankelijke certificaten: De maximale geldigheidsduur van openbare TLS-certificaten daalt naar 200 dagen vanaf maart 2026, 100 dagen vanaf maart 2027 en 47 dagen vanaf maart 2029. Privé-CA's die via AWS Private CA worden uitgegeven, kunnen al worden afgestemd op elke gewenste geldigheidsperiode; de ​​combinatie met automatisering van de certificaatlevenscyclus is essentieel naarmate de vernieuwingsfrequentie toeneemt.

AWS Certificate Manager versus AWS Private CA: twee verschillende services.

De verwarring tussen deze twee diensten is gebruikelijk en heeft gevolgen. Ze dienen verschillende doelen, hanteren verschillende prijsmodellen en zijn niet uitwisselbaar.

AWS Certificate Manager (ACM) levert en vernieuwt openbare SSL/TLS-certificaten voor gebruik met AWS-geïntegreerde services, waaronder Amazon CloudFront, Application Load Balancer, Amazon API Gateway en AWS Elastic Beanstalk. Openbare certificaten via ACM zijn gratis te gebruiken met deze geïntegreerde services. ACM verzorgt de vernieuwing automatisch. De belangrijkste beperking: u kunt een door ACM beheerd openbaar certificaat of de bijbehorende privésleutel niet exporteren. ACM-certificaten kunnen niet rechtstreeks op EC2-instanties, on-premises servers of niet-AWS-systemen worden geïnstalleerd. Ze kunnen ook geen certificaten uitgeven voor interne hostnamen of privé-IP-adressen die niet voldoen aan de validatievereisten voor openbare domeinen.

AWS Private CA is een beheerde service voor het uitvoeren van een privé-certificeringsinstantie. De certificaten die het uitgeeft, worden privé vertrouwd (de apparaten en services van uw organisatie moeten geconfigureerd zijn om de CA-hiërarchie te vertrouwen). De privésleutel kan samen met het certificaat worden geëxporteerd, waardoor installatie overal mogelijk is: EC2-instanties, on-premises servers, containers, IoT-apparaten en aangepaste applicaties. AWS Private CA ondersteunt privé-hostnamen, interne IP-adressen en aangepaste onderwerpvelden die openbare CA's niet kunnen uitgeven. Er worden maandelijkse beheerkosten voor de CA in rekening gebracht, plus kosten per uitgegeven certificaat.

Afmeting	AWS Certificaatbeheerder (ACM)	AWS privé-CA
Certificaattrust	Openbaar vertrouwd (vertrouwensarchieven van browsers en besturingssystemen)	Privé vertrouwd (alleen binnen uw CA-hiërarchie)
Exporteren van privésleutel	Niet toegestaan	Toegestaan ​​(certificaat + sleutel exporteerbaar)
Geldig voor interne hostnamen	Nee	Ja
Kosten	Gratis voor ACM-geïntegreerde services	$400/CA/maand (algemeen gebruik) of $50/CA/maand (kortdurend gebruik)
Automatische vernieuwing	Ja (beheerd door AWS)	Vereist CLM-automatisering of handmatige verlenging
Use cases	Openbare HTTPS voor websites en API's op AWS-services	Interne TLS, mTLS, IoT, codeondertekening, VPN, gebruikersauthenticatie
CA-sleutelbewaring	Beheerd door AWS (geen toegang voor klanten)	AWS KMS (ondersteuning voor door de klant beheerde sleutels)

CA-hiërarchiemodellen: private cloud versus hybride cloud

AWS Private CA ondersteunt twee fundamentele CA-hiërarchieën. De keuze hiertussen is de belangrijkste ontwerpbeslissing, omdat deze bepaalt wie de root-CA-sleutel beheert en hoeveel operationele complexiteit u accepteert.

Model 1: Privécloud (hoofd- en ondergeschikte CA's beide in AWS)

In dit model creëert u een root-CA binnen AWS Private CA en een of meer ondergeschikte (uitgevende) CA's, allemaal binnen AWS. De sleutel van de root-CA wordt beschermd door AWS KMS. AWS zorgt voor hoge beschikbaarheid, replicatie en sleutelbescherming. U communiceert volledig met de CA via de AWS-console, SDK en CLI.

Dit model biedt alle voordelen van cloudautomatisering: geen hardware om te beheren, geen HSM om te configureren, automatische hoge beschikbaarheid in beschikbaarheidszones en API-gestuurde certificaatuitgifte die naadloos integreert met AWS-services. Het nadeel is dat de root-CA-sleutel zich in AWS KMS bevindt volgens het model van gedeelde verantwoordelijkheid. AWS heeft operationele toegang tot het sleutelmateriaal als onderdeel van de beheerde service. Voor organisaties met wettelijke vereisten die voorschrijven dat de root-CA-sleutel uitsluitend in handen van de klant moet zijn, voldoet dit model niet aan die vereisten, tenzij u gebruikmaakt van door de klant beheerde KMS-sleutels (BYOK).

AWS Private CA ondersteunt maximaal vijf niveaus in een CA-hiërarchie: een root-CA met maximaal vier niveaus van ondergeschikte CA's daaronder. U kunt meerdere onafhankelijke hiërarchieën creëren, elk met een eigen root-CA. Voor de meeste bedrijven is een hiërarchie met twee niveaus (root-CA plus één uitgevende CA per omgeving) voldoende en gemakkelijker te controleren.

Model 2: Hybride cloud (root-CA op locatie, ondergeschikte CA in AWS)

In dit model wordt de root-CA on-premises gehost, doorgaans in een dedicated HSM onder uw directe fysieke en logische controle. De ondergeschikte CA wordt aangemaakt in AWS Private CA en u ondertekent het certificaatondertekeningsverzoek (CSR) van de ondergeschikte CA met behulp van uw on-premises root-CA. Het resulterende ondertekende certificaat van de ondergeschikte CA wordt vervolgens weer geïmporteerd in AWS Private CA, waardoor de ondergeschikte CA wordt geactiveerd voor de uitgifte van operationele certificaten.

Dit model geeft u direct beheer over de root-CA-sleutel. De root-CA-sleutel komt nooit in AWS terecht. Als de AWS Private CA subordinate CA wordt gecompromitteerd, kan een aanvaller geen nieuwe certificaten uitgeven vanaf het rootniveau en kunt u het subordinate CA-certificaat intrekken met uw on-premises root-CA, zonder afhankelijk te zijn van AWS. Er zijn wel degelijk nadelen: u moet de on-premises root-CA-infrastructuur beheren en onderhouden, gedocumenteerde root-CA-ceremonies uitvoeren voor alle root-CA-sleutelbewerkingen en de fysieke en logische beveiliging van de on-premises HSM beheren. Voor organisaties met een bestaande on-premises PKI die gedeeltelijk migreren naar AWS, biedt het hybride cloudmodel een natuurlijke overgang zonder dat een volledige wijziging van het vertrouwensmodel nodig is.

Sleutelbeheer: Native KMS, BYOK en HYOK voor AWS Private CA

AWS Private CA beschermt de privésleutels van de certificeringsinstantie (CA) met behulp van AWS KMS. De keuze van het KMS-sleuteltype bepaalt uw mate van controle over het CA-sleutelmateriaal en uw mogelijkheid om zelfstandig toegang in te trekken.

Optie 1: Door AWS beheerde KMS-sleutel (standaard)

Wanneer u een privé-CA aanmaakt zonder een KMS-sleutel op te geven, maakt en beheert AWS Private CA namens u een KMS-sleutel. Deze sleutel is specifiek voor uw CA, maar wordt volledig door AWS beheerd. U kunt het sleutelmateriaal niet bekijken, onafhankelijk roteren of verwijderen zonder de CA te verwijderen. Dit is de eenvoudigste optie en voldoet aan de meeste operationele vereisten, maar u kunt de ondertekeningsbevoegdheid van de CA niet onafhankelijk intrekken, behalve door de CA te verwijderen via de AWS-console of API.

Optie 2: Door de klant beheerde KMS-sleutel (BYOK)

BYOK (Bring Your Own Key) voor AWS Private CA betekent dat u een door de klant beheerde sleutel (CMK) aanmaakt in AWS KMS, die ofwel door AWS KMS wordt gegenereerd of vanuit een externe sleutelbron wordt geïmporteerd, en dat u die CMK opgeeft bij het aanmaken van de private CA. AWS Private CA gebruikt uw CMK om de privésleutel van de CA te beschermen.

Met een door de klant beheerde CMK kunt u de sleutel uitschakelen om de CA onmiddellijk te beletten ondertekeningsbewerkingen uit te voeren, zonder de CA te verwijderen. U kunt het sleutelgebruik bekijken in AWS CloudTrail. U beheert de sleutelrotatie voor de CMK. Als u geïmporteerd sleutelmateriaal gebruikt (de sleutel extern genereert en importeert in KMS), behoudt u het bronsleutelmateriaal en kunt u het geïmporteerde sleutelmateriaal uit KMS verwijderen om de mogelijkheid van de CA om te ondertekenen permanent en onmiddellijk in te trekken, zelfs zonder tussenkomst van AWS-ondersteuning.

BYOK is de juiste keuze voor organisaties die een onafhankelijke kill switch nodig hebben voor de CA-sleutel, die wettelijke vereisten hebben met betrekking tot door klanten gegenereerd sleutelmateriaal, of die aan auditors moeten aantonen dat de organisatie de herkomst behoudt van alle cryptografische sleutels die de CA-infrastructuur beschermen.

Optie 3: HYOK (Hold Your Own Key) via hybride architectuur

Echte HYOK voor een root-CA, waarbij de CA-sleutel onder geen enkele omstandigheid AWS binnenkomt, vereist de hierboven beschreven hybride cloudarchitectuur: de root-CA en de bijbehorende sleutel bevinden zich in een on-premises HSM die u beheert, en alleen ondergeschikte CA's worden gehost in AWS Private CA. De ondergeschikte CA binnen AWS Private CA gebruikt nog steeds een KMS-ondersteunde sleutel (die u kunt omzetten naar een door de klant beheerde CMK), maar de sleutel op rootniveau bevindt zich volledig buiten de infrastructuur van AWS.

Dit biedt de sterkste sleutelsoevereiniteit op het niveau van de root-CA. AWS heeft onder geen enkele omstandigheid toegang tot de root-CA-sleutel en kan deze niet gebruiken, zelfs niet onder juridische dwang. De keerzijde hiervan is de toegenomen operationele complexiteit van het onderhouden van een on-premises root-CA en de latentie van de workflow voor het ondertekenen van documenten tussen verschillende omgevingen voor ondergeschikte CA-bewerkingen.

Afmeting	AWS-beheerde KMS-sleutel	Door de klant beheerde KMS-sleutel (BYOK)	HYOK (Local CA op locatie)
CA belangrijke locatie	AWS KMS (beheerd door AWS)	AWS KMS (door de klant beheerd)	Hoofdsleutel: uw on-premises HSM; Ondergeschikte sleutel: AWS KMS
AWS-toegang tot root-sleutel	Ja (operationeel)	Ja (operationeel, de klant bepaalt de rotatie en verwijdering)	Nee voor de root CA-sleutel
Onafhankelijke noodstop	Alleen CA verwijderen (via AWS)	CMK uitschakelen of verwijderen (direct, onafhankelijk)	Ondergeschikt CA-certificaat intrekken van de lokale root (onmiddellijk)
Sleutelherkomstcontrole	AWS genereert belangrijk materiaal	De klant genereert of importeert belangrijk materiaal.	De klant genereert en beheert exclusief de root-sleutel.
Operationele complexiteit	Laag	Medium	Hoog (vereist een eigen HSM- en ceremonie-infrastructuur)
Best voor	De meeste AWS-native workloads; prioriteit voor operationele eenvoud.	Gereguleerde sectoren; onafhankelijke sleutelcontrolevereiste	Strikte soevereiniteitsmandaten; geclassificeerde of luchtdichte omgevingen.

IAM-model voor AWS Private CA: ontwerp gebaseerd op minimale privileges

Toegangsbeheer voor AWS Private CA's maakt gebruik van IAM-identiteitsbeleid en op resources gebaseerd beleid. Om toegang volgens het principe van minimale privileges te ontwerpen, is het belangrijk om de rollen die de CA beheren te scheiden van de rollen die certificaten uitgeven.

CA-beheerderrol: Heeft machtigingen nodig om CA's aan te maken, bij te werken, te taggen en te verwijderen, en om CA-certificaten te importeren. Belangrijkste machtigingen: acm-pca:CreateCertificateAuthority, acm-pca:UpdateCertificateAuthority, acm-pca:DeleteCertificateAuthority, acm-pca:ImportCertificateAuthorityCertificate, acm-pca:TagCertificateAuthorityDeze rol mag niet worden toegekend. acm-pca:IssueCertificate om de functiescheiding te handhaven.

Rol van de certificaatuitgever: Heeft machtigingen nodig om certificaten uit te geven en op te halen en om intrekking te configureren. Belangrijkste machtigingen: acm-pca:IssueCertificate, acm-pca:GetCertificate, acm-pca:RevokeCertificate, acm-pca:ListCertificateAuthoritiesAan deze rol mogen geen CA-beheerrechten worden toegekend.

Uitgifte van een certificaat voor een rekeningoverschrijding: Wanneer een ondergeschikte CA in het ene AWS-account certificaten moet uitgeven voor workloads in een ander AWS-account, moet een op resources gebaseerd beleid op de privé-CA expliciet toestemming verlenen. acm-pca:IssueCertificate naar de opdrachtgever in het aanvragende account. Dit is het juiste patroon voor platformteams die een gedeelde PKI-service beheren over meerdere AWS-accounts in een AWS Organizations-structuur.

Integratie van KMS-sleutelbeleid: Als u een door de klant beheerde KMS-sleutel gebruikt voor de bescherming van CA-sleutels, moet het KMS-sleutelbeleid de AWS Private CA-serviceprincipal toestemming geven om de sleutel te gebruiken voor kms:Sign Door de KMS-sleutelbeheerder (die het sleutelbeleid kan beheren) te scheiden van de KMS-sleutelgebruiker (de Private CA-service) wordt voorkomen dat één enkele partij zowel de sleutel beheert als certificaten uitgeeft.

Algemene modus versus kortlopende certificaatmodus

AWS Private CA heeft een tweede bedrijfsmodus geïntroduceerd, specifiek voor certificaatworkloads met een hoge frequentie en korte geldigheidsduur. Het kiezen van de juiste modus voor elke CA in uw hiërarchie heeft een aanzienlijke invloed op zowel de kosten als de architectuur.

De algemene modus (400 dollar per CA per maand) ondersteunt de uitgifte van certificaten met elke gewenste geldigheidsperiode, van seconden tot jaren. Deze modus is geschikt voor traditionele PKI-toepassingen: TLS-servercertificaten, gebruikersauthenticatiecertificaten, codeondertekeningscertificaten en apparaatidentificatiecertificaten met een geldigheidsperiode van meerdere jaren of maanden. Alle certificaatsjablonen en het volledige scala aan sleutelalgoritmen (RSA 2048, RSA 4096, ECDSA P-256, ECDSA P-384) worden ondersteund.

De kortstondige certificaatmodus (50 dollar per CA per maand) beperkt de geldigheidsduur van certificaten tot maximaal 7 dagen. Deze beperking is een voordeel voor omgevingen die gebruikmaken van SPIFFE/SPIRE-achtige workload-identificatie, service mesh mTLS (Istio, Linkerd) of op certificaten gebaseerde, tijdelijke referenties, waarbij een korte geldigheidsduur de noodzaak voor intrekkingcontrole volledig overbodig maakt. Met een kostprijs die een achtste is van die van de algemene modus, is de kortstondige modus een aanzienlijke kostenbesparing voor omgevingen met frequente, geautomatiseerde certificaatuitgifte. De combinatie van een CA in de kortstondige modus met een ACME- of EST-inschrijvingsprotocol en een CLM-platform voor certificaatautomatisering is de productiearchitectuur voor moderne cloud-native PKI.

Wat kan AWS Private CA uitgeven: certificaattypen en gebruiksscenario's

AWS Private CA ondersteunt de volgende certificaattypen via configureerbare sjablonen die het correcte sleutelgebruik en uitgebreide sleutelgebruiksextensies afdwingen:

• TLS-servercertificaten: Interne webservers, API's en microservices die HTTPS met privévertrouwen vereisen. Het certificaat bevat de TLS Server Authentication EKU (OID 1.3.6.1.5.5.7.3.1) en wordt gevalideerd door clients die uw privé-CA-hiërarchie vertrouwen.
• mTLS-clientcertificaten: Wederzijdse TLS-authenticatie tussen services in microservice-architecturen en service meshes. Beide zijden presenteren certificaten; de TLS Client Authentication EKU (OID 1.3.6.1.5.5.7.3.2) is inbegrepen. De kortstondige certificaatmodus is optimaal voor mTLS-workloadidentiteitscertificaten die binnen 24 uur worden vernieuwd.
• Certificaten voor IoT-apparaten: Identiteitsvoorziening voor apparaten tijdens de productie en authenticatie van apparaten in het veld. AWS Private CA integreert met AWS IoT Core voor certificaatuitgifte op vlootniveau. De IEEE 802.1AR IDevID- en LDevID-patronen zijn via de API te realiseren.
• Certificaten voor codeondertekening: Interne ondertekening van softwareartefacten voor CI/CD-pipelines en firmwaredistributie. Codeondertekening via AWS Private CA vereist de Code Signing EKU (OID 1.3.6.1.5.5.7.3.3) en passende sleutelbeveiliging voor de ondertekeningssleutel.
• E-mailbeveiliging (S/MIME): Interne versleutelde e-mail via certificaten met de Email Protection EKU (OID 1.3.6.1.5.5.7.3.4). Voor grootschalige S/MIME-communicatie binnen bedrijven biedt Encryption Consulting de oplossing. CertSecure Manager Biedt de CLM-laag voor inschrijving en levenscyclusbeheer.
• OCSP-ondertekeningscertificaten: Vereist als u de beheerde OCSP-responder van AWS Private CA configureert. De OCSP Signing EKU (OID 1.3.6.1.5.5.7.3.9) wordt automatisch opgenomen in OCSP-ondertekeningscertificaten die door de service worden uitgegeven.

OCSP en intrekking van certificaten in een AWS Private CA

AWS Private CA ondersteunt twee intrekkingsmechanismen die per CA onafhankelijk van elkaar kunnen worden ingeschakeld.

Managed OCSP is de door AWS gehoste Online Certificate Status Protocol-responder. Wanneer deze is ingeschakeld, geeft AWS Private CA automatisch OCSP-ondertekeningscertificaten uit, publiceert de OCSP-responder-URL in de Authority Information Access (AIA)-extensie van uitgegeven certificaten en beantwoordt OCSP-vragen over de certificaatstatus. Managed OCSP brengt $ 0.06 per certificaat per maand in rekening als er OCSP-reacties voor dat certificaat zijn gegenereerd, plus $ 0.20 per 100,000 OCSP-vragen. In mTLS-omgevingen met een hoog volume, waar elke verbinding een OCSP-controle activeert, lopen deze kosten snel op. De modus voor kortstondige certificaten vermijdt OCSP volledig, omdat certificaten verlopen voordat intrekking relevant wordt.

CRL (Certificate Revocation List) is het alternatieve intrekkingsmechanisme. AWS Private CA kan CRL's publiceren naar een Amazon S3-bucket volgens een configureerbaar schema. Voor de distributie van CRL's is het vereist dat de S3-bucket toegankelijk is voor alle partijen die op het certificaat vertrouwen, wat doorgaans betekent dat de bucket moet worden geconfigureerd voor openbare of beperkte toegang. Het controleren van CRL's voegt latentie toe aan de totstandkoming van de verbinding, gelijk aan de tijd die nodig is om de CRL te downloaden en te verifiëren.

Voor de meeste private PKI-implementaties binnen bedrijven is managed OCSP het geprefereerde intrekkingsmechanisme, omdat het realtime statusinformatie biedt zonder dat clients potentieel grote CRL-bestanden hoeven te downloaden en in de cache hoeven op te slaan. Voor omgevingen zonder internetverbinding of zeer gevoelige omgevingen waar uitgaande OCSP-query's ongewenst zijn, is een CRL met een korte geldigheidsperiode (dagelijkse of uurlijkse publicatie) het geschikte alternatief.

Kostenoverzicht van een AWS Private CA

Om de volledige kosten van AWS Private CA te begrijpen, moet rekening worden gehouden met de CA-werking, de uitgifte van certificaten, OCSP en de KMS-sleutelbewerkingen die de privésleutel van de CA beschermen. Het oorspronkelijke bedrag van $400 per maand omvat alleen de CA-werkingskosten voor de algemene modus.

Kostencomponent	Algemene modus	Kortstondige certificaatmodus
CA-bewerking (per CA per maand)	$400	$50
Certificaten 1 tot 1,000 (per certificaat)	$0.75	$0.058 (vast tarief)
Certificaten 1,001 tot 10,000 (per certificaat)	$0.35	$0.058 (vast tarief)
Certificaten 10,001 en hoger (per certificaat)	$0.001	$0.058 (vast tarief)
OCSP (per certificaat per maand, indien opgevraagd)	$0.06	Niet van toepassing (certificaten verlopen voordat OCSP vereist is)
OCSP-query's (per 100,000)	$0.20	NB
Start nu	30 dagen voor de eerste CA per account per regio (alleen CA-bewerkingen; certificeringskosten blijven van toepassing)	30 dagen voor de eerste CA per account per regio.

Een praktisch voorbeeld: een CA-hiërarchie met twee certificatenverstrekkers (een root-CA plus een uitgevende CA) in de algemene modus, die 2,000 certificaten per maand uitgeeft met OCSP ingeschakeld, kost ongeveer $ 800 (CA-beheer) plus $ 1,025 aan certificaatkosten (1,000 x $ 0.75 plus 1,000 x $ 0.35) plus OCSP-kosten (2,000 x $ 0.06 = $ 120), wat neerkomt op ongeveer $ 1,945 per maand vóór KMS-kosten. Bij een CA-spreiding, waarbij elke omgeving een eigen ondergeschikte CA krijgt, worden de maandelijkse CA-beheerkosten van $ 400 over alle CA's heen vermenigvuldigd. Het consolideren van omgevingen onder één enkele ondergeschikte CA, waar het beveiligingsbeleid dit toelaat, verlaagt de kosten aanzienlijk.

Voor de actuele prijsinformatie kunt u terecht op aws.amazon.com/private-ca/pricing/.

Integratie van certificaatlevenscyclusbeheer

AWS Private CA biedt de CA-infrastructuur, maar certificaatlevenscyclusbeheer (CLM) vereist extra tools. Omdat CA/B Forum SC-081v3 de maximale geldigheidsduur van openbare TLS-certificaten vanaf maart 2026 reduceert tot 200 dagen, vanaf maart 2027 tot 100 dagen en vanaf maart 2029 tot 47 dagen, is automatische verlenging niet langer optioneel, zelfs niet voor privécertificaten die naast openbare certificaten worden gebruikt.

AWS Private CA integreert naadloos met verschillende inschrijvingsmechanismen:

• Integratie met AWS Certificate Manager: ACM kan een eigen certificeringsinstantie (CA) gebruiken als uitgevende instantie voor certificaten die automatisch worden geïmplementeerd in ACM-geïntegreerde services. Dit biedt u een vertrouwensrelatie met de door ACM beheerde automatische verlenging en implementatie.
• ACME-protocol: De AWS Private CA Connector voor ACME (uitgebracht in 2023) stelt ACME-compatibele clients (cert-manager, certbot, acme.sh) in staat om certificaten aan te vragen bij uw private CA met behulp van het standaard ACME-protocol. Dit is de juiste integratieroute voor Kubernetes-native certificaatautomatisering en DevOps-toolchains.
• Integratie met Active Directory (AD CS): De AWS Private CA Connector voor Active Directory integreert met Windows-omgevingen die zijn gekoppeld aan Microsoft Active Directory, waardoor machines en gebruikers die lid zijn van een domein certificaten kunnen ontvangen van AWS Private CA via de bekende AD Certificate Services-inschrijvingsmechanismen (automatische inschrijving, SCEP).
• Directe API en SDK: De AWS Private CA API ondersteunt programmatische certificaatuitgifte via de SDK in elke door AWS ondersteunde taal, waardoor aangepaste inschrijvingsworkflows voor niet-standaard systemen mogelijk zijn.

Voor organisaties die certificaten beheren via AWS Private CA en andere CA-bronnen (Microsoft AD CS, on-premises PKI, CA's van cloudproviders), biedt CertSecure Manager van Encryption Consulting een CA-onafhankelijke, uniforme certificaatdetectie, automatisering van de levenscyclus en bewaking van de vervaldatum voor alle bronnen. De AWS Private CA-volumes moeten worden opgenomen in elke CLM-inventaris van de onderneming.

Multi-cloud en hybride PKI-architectuur

Organisaties die AWS Private CA gebruiken naast Azure, GCP of on-premises omgevingen, stuiten op hetzelfde probleem van consistentie tussen clouds als bij elke andere cloud-native sleutelbeheerservice: AWS Private CA is AWS-specifiek. Certificaten die het uitgeeft, worden vertrouwd door systemen die uw private CA-hiërarchie vertrouwen, maar het CA-beheerplatform, het auditspoor en de automatisering van de levenscyclus zijn AWS-native en worden niet automatisch uitgebreid naar andere clouds.

Drie patronen bieden hiervoor een oplossing voor multi-cloud PKI:

• Eén AWS Private CA-hiërarchie als bedrijfsroot: Alle omgevingen (AWS, Azure, GCP, on-premises) vertrouwen dezelfde root-CA die wordt gehost in AWS Private CA. Ondergeschikte CA's geven certificaten uit voor elke omgeving. De distributie van certificaten tussen de clouds wordt afgehandeld door het root-CA-certificaat te implementeren in de vertrouwensarchief van alle systemen. Dit is het eenvoudigste model voor organisaties die voornamelijk op AWS gebaseerd zijn en andere omgevingen als satellietimplementaties beschouwen.
• Lokale root-CA met ondergeschikte CA's in de cloud: Een lokale root-CA ondertekent certificaten van ondergeschikte CA's voor AWS Private CA (voor AWS-workloads), Azure-gebaseerde ondergeschikte CA's (voor Azure-workloads) en alle andere cloudomgevingen. Alle ondergeschikte CA's delen dezelfde vertrouwensbasis, maar opereren onafhankelijk binnen hun respectievelijke cloudplatforms. Dit is het hybride cloudmodel, uitgebreid naar meerdere clouds. De lokale root-CA is het ultieme vertrouwensanker.
• CLM-verenigd vastgoed met meerdere CA's: Elke cloud gebruikt zijn eigen CA-service (AWS Private CA voor AWS, Azure Active Directory Certificate Services of Azure-geïntegreerde CA's voor Azure, GCP Certificate Authority Service voor GCP), en een cloud-agnostisch CLM-platform aggregeert de certificaatinventaris, bewaakt de vervaldatum en handhaaft het rotatiebeleid voor alle bronnen. Dit voorkomt de complexiteit van een CA-hiërarchie tussen verschillende clouds, ten koste van een CLM-platform dat kan integreren met meerdere CA-API's. Encryption Consulting's CertSecure Manager Integreert met AWS Private CA en andere CA-bronnen om deze uniforme zichtbaarheidslaag te bieden.

ACM Private CA Best Practices

1. Ontwerp uw CA-hiërarchie vóór de ingebruikname: Bepaal hoeveel CA-niveaus u nodig hebt (een tweelaags architectuur wordt aanbevolen voor de meeste bedrijven: een root-CA plus een uitgevende CA per omgeving), hoeveel ondergeschikte CA's u wilt aanmaken en welke omgevingen een gedeelde uitgevende CA hebben en welke een eigen CA krijgen. Een wildgroei aan CA's verhoogt uw maandelijkse CA-beheerkosten en maakt intrekking complexer.
2. Leg uw certificeringsbeleid en -procedures vast: Definieer de maximale geldigheidsperioden per certificaattype, de toegestane sleutelalgoritmen en -groottes, het toegestane uitgebreide sleutelgebruik per certificaatsjabloon en de goedkeuringsworkflow voor elke certificaatcategorie. AWS Private CA handhaaft deze via sjablonen en API-controles; het beleidsdocument is wat auditors beoordelen.
3. Gebruik door de klant beheerde KMS-sleutels voor de bescherming van CA-sleutels: Standaard AWS-beheerde sleutels werken wel, maar bieden minder controle. Klantbeheerde sleutels bieden de mogelijkheid om ze onafhankelijk uit te schakelen/verwijderen en zorgen voor een duidelijker auditspoor voor sleutelbewerkingen in CloudTrail.
4. CloudTrail inschakelen voor alle API-activiteiten van Private CA: Elke certificaatuitgifte, intrekking, CA-aanmaak en CA-configuratiewijziging genereert een CloudTrail-gebeurtenis. Stuur deze door naar een SIEM-systeem en configureer waarschuwingen voor certificaatuitgifte door onverwachte principals, CA-verwijderingsverzoeken en gebeurtenissen met betrekking tot het uitschakelen van KMS-sleutels die de privésleutels van CA's beschermen.
5. Automatiseer de verlenging van certificaten vóór de vervaldatum: AWS Private CA verlengt de door haar uitgegeven certificaten niet automatisch (in tegenstelling tot ACM voor openbare certificaten). Gebruik de ACME-connector, ACM-integratie of een CLM-platform om de verlenging te automatiseren. Met een geldigheidsduur van 47 dagen (vanaf maart 2029 voor openbare certificaten) is handmatige verlenging operationeel onmogelijk. Implementeer de automatisering nu.
6. Scheid de IAM-rollen voor CA-beheerder en certificaatuitgever: Geen enkele IAM-principal mag zowel CA-beheerrechten als certificaatuitgifterechten hebben. Configureer aparte rollen en vereis voor gevoelige CA's MFA voor alle CA-beheerbewerkingen.
7. Houd de root-CA inactief wanneer deze niet in gebruik is: Als uw root-CA in AWS Private CA niet regelmatig certificaten voor ondergeschikte CA's hoeft uit te geven, schakelt u deze uit na de initiële configuratie van de hiërarchie. Een uitgeschakelde root-CA kan niet worden gebruikt om certificaten uit te geven, waardoor het aanvalsoppervlak kleiner wordt. Schakel deze alleen weer in bij het vernieuwen van certificaten voor ondergeschikte CA's of bij wijzigingen in de hiërarchie.
8. Plan voor uitrol in meerdere regio's: AWS Private CA is een regionale service. Als uw certificatenportefeuille zich uitstrekt over meerdere AWS-regio's, kunt u ondergeschikte CA's aanmaken in elke regio waar de latentie bij certificaatuitgifte van belang is. De hoofd-CA kan in één regio blijven; voor ondergeschikte CA's in andere regio's geldt een eigen beheersvergoeding van $400 per maand (of $50 per maand).

Gedeelde verantwoordelijkheid in AWS Private CA

AWS Private CA opereert volgens het AWS-model van gedeelde verantwoordelijkheid, met een duidelijke scheiding tussen wat AWS bezit en wat de klant bezit.

De verantwoordelijkheden van AWS omvatten de fysieke beveiliging van de datacenters die de KMS HSM's hosten die de CA-sleutels beschermen, de beschikbaarheid en duurzaamheid van de AWS Private CA-service zelf, de FIPS 140-2 Level 3-validatie van de HSM's die de door KMS beheerde sleutels beschermen, automatische replicatie van CA-configuratie en -sleutels over beschikbaarheidszones binnen een regio, de beveiliging van de beheerde OCSP-responderinfrastructuur en het patchen en onderhouden van de onderliggende service-infrastructuur.

De verantwoordelijkheden van de klant omvatten onder andere beslissingen over het ontwerp van de CA-hiërarchie, de configuratie van het IAM-beleid (wie certificaten mag uitgeven, wie CA's mag beheren), de keuze van het KMS-sleuteltype (door AWS beheerd versus door de klant beheerd), de selectie en configuratie van certificaatsjablonen voor elke CA, de configuratie van intrekking (OCSP-inschakeling, toegang tot CRL S3-buckets), de configuratie van monitoring en waarschuwingen voor certificaatgebeurtenissen, de automatisering van certificaatvernieuwing, de distributie van het privé-CA-rootcertificaat naar alle vertrouwensarchieven van de relying parties, en de documentatie van het certificaatbeleid en de certificeringspraktijkverklaring die vereist is voor complianceprogramma's.

Hoe encryptieconsultancy kan helpen

Encryption Consulting is een bedrijf gespecialiseerd in toegepaste cryptografie en cloudbeveiliging, met ISO/IEC 27001:2022- en SOC 2-certificeringen. Wij helpen organisaties bij het ontwerpen, implementeren en beheren van AWS Private CA-implementaties, van het initiële hiërarchische ontwerp tot de automatisering van de certificaatlevenscyclus en het verzamelen van bewijsmateriaal voor naleving.

• PKI als een service: Voor organisaties die beheerde PKI willen zonder de operationele complexiteit van het zelf draaien van AWS Private CA, biedt Encryption Consulting de oplossing. PKI als een service Wij bieden een volledig beheerde private CA met FIPS-gevalideerde HSM-sleutelbescherming, ondersteuning bij de root CA-ceremonie, CP/CPS-documentatie en 24/7 monitoring. We kunnen integreren met AWS-workloads en tegelijkertijd de operationele last van de CA voor uw team wegnemen.
• CertSecure Manager (CLM): AWS Private CA biedt CA-infrastructuur, maar geen levenscyclusbeheer voor de certificaten die het uitgeeft. Encryption Consulting's CertSecure Manager Biedt certificaatdetectie, vervaldatumbewaking, automatische verlenging via ACME en EST, en een uniforme certificaatinventaris voor AWS Private CA, Microsoft AD CS en andere CA-bronnen. Aangezien CA/B Forum SC-081v3 de geldigheidsduur van certificaten verkort tot 47 dagen, wordt geautomatiseerd CLM essentieel.
• PKI-diensten en -advies: Als u een CA-hiërarchie ontwerpt voor AWS Private CA, de voor- en nadelen van een private cloud versus een hybride cloud afweegt, of een certificaatbeleid en CPS-document nodig hebt voor een compliance-audit, dan kan Encryption Consulting u hierbij helpen. PKI-diensten Dit omvat het ontwerp van CA-hiërarchieën, het faciliteren van sleutelceremonies voor hybride implementaties en de ontwikkeling van CP/CPS voor elk PKI-complianceframework (NIST, WebTrust, ETSI).
• HSM als een service: Voor hybride implementaties die een on-premises root-CA vereisen, ondersteund door een dedicated FIPS-gevalideerde HSM, biedt Encryption Consulting de volgende oplossingen. HSM als een service Biedt de beheerde HSM-infrastructuur voor uw root CA-sleutel zonder kapitaaluitgaven aan HSM-hardware.
• CBOM Secure: AWS Private CA-implementaties die organisch zijn gegroeid, bevatten vaak meer CA's, certificaten en sleuteltypen dan beveiligingsteams handmatig kunnen bijhouden. Encryption Consulting's CBOM Secure Ontdekt en inventariseert alle cryptografische activa in uw AWS-omgeving, inclusief door AWS Private CA uitgegeven certificaten, KMS-sleutels en ACM-certificaten, en genereert een cryptografische materiaallijst (CBOM) in CycloneDX-formaat voor naleving en auditdoeleinden.
• PQC-gereedheid: NIST heeft in augustus 2024 de post-kwantumcryptografiestandaarden FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA) afgerond. NIST IR 8547 wijst erop dat RSA en ECC rond 2030 zullen worden uitgefaseerd voor nieuwe toepassingen. Als uw AWS Private CA-hiërarchie momenteel RSA- of ECDSA-CA-sleutels gebruikt, moet u nu beginnen met de migratieplanning. Encryption Consulting's PQC-gereedheid Deze service beoordeelt uw AWS Private CA-hiërarchie aan de hand van de tijdlijn voor de migratie na de quantumovergang en ontwerpt het overgangspad voor het algoritme.

Neem contact op met Encryption Consulting om uw AWS Private CA-ontwerp, CLM-automatisering of compliancevereisten te bespreken.

Conclusie

AWS Private CA neemt de noodzaak voor hardwareaanschaf, de benodigde datacenterruimte en de operationele complexiteit van het beheren van een eigen certificeringsinstantie weg, terwijl alle belangrijke beveiligingsmaatregelen behouden blijven: keuze van sleutelalgoritme, ontwerp van de CA-hiërarchie, door IAM afgedwongen rolscheiding, KMS-ondersteunde sleutelbescherming met klantcontrole en een volledig CloudTrail-auditspoor van elke certificaatbewerking.

De belangrijkste beslissingen die bepalen of een AWS Private CA-implementatie veilig, kosteneffectief en controleerbaar is, zijn geen standaardinstellingen: het hiërarchiemodel Private Cloud versus Hybrid Cloud, het KMS-sleuteltype (door AWS beheerd versus door de klant beheerd BYOK), de operationele modus (algemeen gebruik voor $400/CA/maand versus kortstondig gebruik voor $50/CA/maand voor certificaten met een geldigheidsduur van minder dan 7 dagen), de scheiding van IAM-rollen tussen CA-beheerders en certificaatuitgevers, en de CLM-automatiseringslaag die de verlenging afhandelt naarmate de geldigheidsperioden van certificaten korter worden, richting 47 dagen.

Organisaties die migreren van een on-premises PKI naar een AWS Private CA, moeten dit zien als een herontwerp van hun PKI, niet als een simpele overname. Het hybride cloudmodel behoudt de soevereiniteit van de root-CA-sleutel en biedt tegelijkertijd de operationele voordelen van de cloud voor certificaatuitgifte. BYOK (Bring Your Own Key) met door de klant beheerde KMS-sleutels biedt een onafhankelijke kill switch en een sleutelprovenance die door auditors kan worden geverifieerd. De kortstondige certificaatmodus, met een achtste van de CA-operationele kosten, is de juiste architectuur voor elk mTLS- of workload-identificatiescenario met hoge frequentie.

Veelgestelde Vragen / FAQ

Wat is AWS Private CA en waarin verschilt het van AWS Certificate Manager (ACM)?

AWS Private CA (voorheen ACM Private CA) is een beheerde, particuliere certificeringsinstantie voor het uitgeven van privé-vertrouwde X.509-certificaten voor interne workloads. AWS Certificate Manager (ACM) levert gratis openbare TLS-certificaten voor gebruik met ACM-geïntegreerde AWS-services. ACM-certificaten kunnen niet worden geëxporteerd; Private CA-certificaten kunnen samen met hun privésleutel worden geëxporteerd voor gebruik overal. ACM-certificaten worden publiekelijk vertrouwd; Private CA-certificaten worden alleen vertrouwd door systemen die u configureert om uw CA-hiërarchie te vertrouwen.

Wat is het verschil tussen de modellen Private Cloud en Hybrid Cloud in AWS Private Cloud?

In het Private Cloud-model bevinden zowel de root-CA als de ondergeschikte CA's zich in AWS Private CA, met de sleutels in AWS KMS. In het Hybrid Cloud-model bevindt de root-CA zich on-premises in een HSM die u beheert, en bevinden alleen de ondergeschikte CA's zich in AWS Private CA. Het Hybrid-model geeft u direct beheer over de root-CA-sleutel; het Private Cloud-model biedt volledige cloudautomatisering zonder dat er on-premises infrastructuur nodig is.

Wat zijn de maandelijkse kosten van een AWS Private CA?

AWS Private CA rekent $400 per CA per maand voor de algemene modus en $50 per CA per maand voor de modus met kortstondige certificaten (certificaten geldig tot 7 dagen). De kosten voor certificaatuitgifte zijn getrapt: $0.75 per stuk voor de eerste 1,000, $0.35 per stuk voor 1,001 tot 10,000 en $0.001 per stuk boven de 10,000 per regio per maand voor algemene CA's. Kortstondige certificaten kosten een vast bedrag van $0.058 per stuk. OCSP voegt $0.06 per certificaat per maand toe als er query's worden uitgevoerd, plus $0.20 per 100,000 query's. AWS biedt een gratis proefperiode van 30 dagen voor de werking van de eerste Private CA per account per regio.

Ondersteunt AWS Private CA BYOK (Bring Your Own Key)?

Ja. AWS Private CA gebruikt AWS KMS om CA-sleutels te beschermen. Standaard gebruikt het door AWS beheerde KMS-sleutels. U kunt een door de klant beheerde KMS-sleutel (met geïmporteerd sleutelmateriaal) opgeven bij het aanmaken van de CA. Met geïmporteerd sleutelmateriaal behoudt u de bronsleutel en kunt u deze uit KMS verwijderen om te voorkomen dat de CA direct nieuwe certificaten ondertekent. Echte HYOK (waarbij de CA-sleutel op geen enkel niveau AWS binnenkomt) vereist een hybride cloudarchitectuur met een on-premises root-CA.

Welke IAM-machtigingen heeft AWS Private CA nodig?

CA-beheerders hebben de machtigingen acm-pca:CreateCertificateAuthority, acm-pca:UpdateCertificateAuthority, acm-pca:DeleteCertificateAuthority en acm-pca:ImportCertificateAuthorityCertificate nodig. Certificaatuitgevers hebben de machtigingen acm-pca:IssueCertificate, acm-pca:GetCertificate en acm-pca:RevokeCertificate nodig. Deze rollen moeten gescheiden zijn: geen enkele gebruiker mag zowel CA-beheer- als certificaatuitgiftemachtigingen hebben. Voor uitgifte tussen accounts is een op resources gebaseerd beleid op de privé-CA vereist dat de gebruiker die het certificaat aanvraagt, de machtiging IssueCertificate verleent.

Welke certificaattypen kan AWS Private CA uitgeven?

AWS Private CA kan X.509-certificaten uitgeven voor TLS-serverauthenticatie, TLS-clientauthenticatie (mTLS), codeondertekening, e-mailbeveiliging (S/MIME), OCSP-ondertekening en aangepaste, toepassingsspecifieke toepassingen. Het ondersteunt de sleutelalgoritmen RSA 2048, RSA 4096, ECDSA P-256 en ECDSA P-384. Certificaatsjablonen dwingen het toegestane sleutelgebruik en het uitgebreide sleutelgebruik af voor elk certificaattype, waardoor de uitgifte van certificaattypen die niet in het sjabloon zijn gedefinieerd, wordt voorkomen.