AWS Certificate Manager (ACM) – Aanbevolen procedures

AWS Certificate Manager (ACM) is de beheerde service van Amazon voor het uitgeven, implementeren en vernieuwen van SSL/TLS-certificaten voor AWS-resources. Dit is belangrijk omdat een verkeerd geconfigureerde certificaatlevenscyclus kan leiden tot storingen, mislukte audits en blootgestelde privésleutels. De aanbevolen actie: schakel DNS-validatie in, pas IAM-beleid met minimale privileges toe, roteer en registreer elke certificaatgebeurtenis en maak een weloverwogen keuze tussen door AWS beheerde sleutels en externe sleutelbeheer.

Gepubliceerd: augustus 2020. Bijgewerkt: augustus 2026. Geschreven door Aditi Goel; beoordeeld door het PKI & Cloud Key Management Advisory Team van Encryption Consulting.

Wat is AWS Certificate Manager (ACM)?

AWS Certificate Manager (ACM) is een beheerde service die openbare en privé SSL/TLS-certificaten levert, implementeert en vernieuwt voor workloads die draaien op Amazon Web Services. ACM geeft certificaten uit via de openbare certificeringsinstantie (CA) van Amazon of via AWS Private Certificate Authority (voorheen ACM Private CA), waardoor kleine en middelgrote teams hun eigen Public Key Infrastructure (PKI) kunnen opzetten zonder zelf CA-software te hoeven beheren. Elastic Load Balancing, Amazon CloudFront, Elastic Beanstalk en API Gateway gebruiken ACM-certificaten standaard.

Voor een uitgebreidere uitleg over de architectuur achter de private CA-optie van ACM, lees PKI op Amazon Web Services.

Waarom zijn ACM-best practices belangrijk voor compliance?

Door de best practices van ACM te volgen, blijven de uitgifte, opslag en intrekking van certificaten in lijn met de controles die worden getest door de Payment Card Industry Data Security Standard (PCI DSS) , NIST SP 800-57 en regionale frameworks zoals APRA CPS 234 tijdens een audit. Auditors zoeken naar bewijs van sleutelbescherming, toegangscontrole en logging, niet alleen naar een geldige certificaatketen. De werkwijzen in dit artikel zijn daarom zo opgesteld dat ze dat bewijs leveren, in plaats van alleen te voldoen aan een browserslotje.

Moet je de ingebouwde toetsen van ACM gebruiken of externe toetsen?

Gebruik de eigen, door AWS beheerde sleutels van ACM voor elk certificaat dat direct wordt gebruikt door een met AWS geïntegreerde service, en reserveer BYOK of HYOK voor workloads waarbij een toezichthouder, contract of intern beleid vereist dat u zelf het beheer van de privésleutels kunt aantonen. De juiste keuze is een spectrum, geen binaire schakelaar, en de meeste bedrijven gebruiken meer dan één model tegelijk.

De externe sleutelopslag van AWS KMS maakt gebruik van dubbele versleuteling: gegevens worden eerst versleuteld met een sleutel in de KMS van uw AWS-account en vervolgens opnieuw versleuteld met de sleutel in uw externe sleutelbeheerder. Hierdoor is geen enkele versleutelde tekst te herstellen zonder die externe sleutel. Of BYOK of HYOK de juiste keuze is, hangt voornamelijk af van waar het oorspronkelijke sleutelmateriaal wettelijk of contractueel moet worden opgeslagen; zie onze uitleg over Hybrid KMS voor een volledige vergelijking tussen BYOK en HYOK, en HSM-as-a-Service als u FIPS-gevalideerde sleutelbewaring nodig hebt zonder zelf de hardware te hoeven beheren.

Hoe ziet het IAM-model voor ACM eruit?

ACM heeft geen eigen op resources gebaseerde beleidsregels. De toegang wordt volledig beheerd via op IAM-identiteit gebaseerde beleidsregels die aan gebruikers en rollen zijn gekoppeld, plus KMS-toekenningen voor elke privésleutel die daadwerkelijk bruikbaar is buiten het automatische vernieuwingsproces van ACM. Een ACM-configuratie met minimale privileges bestaat uit vijf stappen:

1. Scheid AWS-accounts of organisatie-eenheden voor productiecertificaten en test-/ontwikkelcertificaten, zodat een gecompromitteerde testrol nooit toegang kan krijgen tot een productiecertificaat.
2. Grant acm:RequestCertificate, acm:DescribeCertificateen acm:ListCertificates koppel ze aan rollen, niet aan individuele gebruikers, en beperk ze waar mogelijk met behulp van resource ARN's.
3. Weigeren kms:CreateGrant standaard, en sta het alleen toe wanneer de kms:EncryptionContext:aws:acm:arn De voorwaardesleutel komt overeen met een goedgekeurd certificaat-ARN.
4. Vereis MFA voor administratieve acties van AWS Private CA, waaronder CreateCertificateAuthority en ScheduleCertificateAuthorityDeletion.
5. Bekijk de bevindingen van IAM Access Analyzer voor elke aan ACM en Private CA gekoppelde rol elk kwartaal.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyGrantExceptApprovedCert",
      "Effect": "Deny",
      "Action": "kms:CreateGrant",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "kms:EncryptionContext:aws:acm:arn": "arn:aws:acm:us-east-1:111122223333:certificate/EXAMPLE-CERT-ID"
        }
      }
    }
  ]
}

Dit beleid ontkent kms:CreateGrant voor elk certificaat behalve de ARN die je noemt, zodat een rol alleen machtigingen kan aanvragen voor certificaten waarvoor deze expliciet is bedoeld — aangepast van AWS' eigen ACM-documentatie over best practices.

Hoe moet je omgaan met certificaatrotatie binnen ACM?

DNS-gevalideerde openbare certificaten die rechtstreeks door ACM worden uitgegeven, worden automatisch vernieuwd en geroteerd. Dit begint 60 dagen voor de vervaldatum voor de oude certificaten met een geldigheidsduur van 395 dagen en 45 dagen voor de vervaldatum voor de nieuwe standaardcertificaten met een geldigheidsduur van 198 dagen. Certificaten die u importeert, of sleutels die u buiten ACM beheert, worden niet automatisch vernieuwd en vereisen een expliciet rotatiebeleid.

• Gebruik DNS-validatie in plaats van e-mailvalidatie, zodat verlenging nooit afhankelijk is van een reactie op een e-mail binnen een validatieperiode.
• Gebruik nooit een door ACM beheerd certificaat als pin in een applicatie. De automatische verlenging van ACM genereert elke keer een nieuw sleutelpaar, waardoor certificaat- of publieke-sleutelpinning niet meer werkt. Pin in plaats daarvan aan de Amazon root-CA of aan uw eigen private CA root.
• Voor symmetrische AWS KMS-sleutels kunt u automatische rotatie inschakelen volgens een configureerbaar schema van 90 tot 2,560 dagen (ongeveer zeven jaar). Asymmetrische en HMAC KMS-sleutels komen niet in aanmerking voor automatische rotatie en moeten worden geroteerd door een nieuwe sleutel aan te maken.
• Geïmporteerd KMS-sleutelmateriaal ondersteunt rotatie op aanvraag — tot tien rotaties gedurende de levensduur van de sleutel — voor organisaties die buiten het automatische schema willen roteren zonder de sleutel-ID waarnaar applicaties verwijzen te wijzigen.
• Volg het CA/B Forum-traject: maximale geldigheidsduur van 200 dagen vanaf 15 maart 2026, 100 dagen vanaf 15 maart 2027 en 47 dagen vanaf 15 maart 2029 (stembiljet SC-081v3). Handleiding voor automatisering van 47-daagse certificaten behandelt de berekeningen voor de verlengingsperiode in detail.

Wat moet u registreren en monitoren voor ACM en KMS?

Schakel AWS CloudTrail in vóórdat u uw eerste ACM-certificaat uitgeeft, niet erna. CloudTrail registreert elke ACM API-aanroep — uitgifte, verlenging, verwijdering, export — samen met de aanroepende identiteit, het bron-IP-adres en het tijdstempel. Daarnaast registreert CloudTrail afzonderlijk zowel KMS-beheeraanroepen (aanmaken, roteren, uitschakelen, beleidswijzigingen) als cryptografische KMS-aanroepen (versleutelen, ontsleutelen, gegevenssleutel genereren).

• Alert op ScheduleCertificateAuthorityDeletion En elke wijziging in het root-CA-beleid is catastrofaal als deze niet geautoriseerd is.
• Er wordt een waarschuwing gegeven bij het exporteren van certificaten, omdat een geëxporteerde privésleutel de automatische rotatiebeveiliging van ACM volledig verlaat.
• Er wordt een waarschuwing gegeven bij herhaalde validatiefouten of vastgelopen DNS-records, wat vaak duidt op een certificaat dat de verlengingstermijn dreigt te missen.
• Integreer CloudTrail in CloudWatch-alarmen of uw SIEM-systeem en bewaar logboeken lang genoeg om te voldoen aan de terugkijkperiodevereisten van uw compliance-raamwerk (PCI DSS vereist minimaal twaalf maanden, waarbij de meest recente drie direct beschikbaar moeten zijn).

Wat zijn de werkelijke kosten van ACM?

ACM-certificaten die direct door AWS-geïntegreerde services worden gebruikt, zijn gratis; u betaalt alleen wanneer u een exporteerbaar certificaat of uw eigen privé-CA nodig hebt. AWS verlaagde de prijs voor exporteerbare certificaten toen de standaard geldigheidsduur van openbare certificaten op 18 februari 2026 werd verkort tot 198 dagen.

De prijsstelling voor de kortlopende modus is precies afgestemd op het patroon van hoge uitgiftevolumes dat certificaten met een looptijd van 47 dagen creëren — het is de moeite waard om dit model te overwegen vóórdat de geldigheid in 2029 vervalt, en niet erna.

Hoe ziet een certificaat- en sleutelarchitectuur voor meerdere clouds eruit met ACM?

In een multi-cloudomgeving moet ACM fungeren als één regionaal uitgiftepunt onder een gecentraliseerde laag voor certificaatlevenscyclusbeheer (CLM) die ook communiceert met Azure Key Vault, Google Cloud CAS en elke on-premises CA – en niet als een geïsoleerde, alleen voor AWS toegankelijke bron van waarheid. Een veelvoorkomend patroon is een hub-and-spoke-architectuur: een centrale beleids- en monitoringlaag federeert met de native CA van elke cloud, inclusief AWS Private CA, terwijl ACME-clients zoals cert-manager de uitgifte binnen het cluster en de VPC afhandelen via de spoke die zich het dichtst bij de workload bevindt.

Voor de volledige referentiearchitectuur, inclusief cert-manager en Kubernetes-integratiepatronen die niet in de eigen documentatie van AWS worden behandeld, raadpleegt u onze Multi-Cloud PKIaaS Architecture Guide voor AWS, Azure en GCP . Als u twijfelt of u dit zelf wilt bouwen of als service wilt aanbieden, helpt Self-Managed PKI vs. PKIaaS u bij deze beslissing met behulp van een scorematrix.

Wat zijn de beperkingen van AWS Certificate Manager?

ACM is geen volledig platform voor certificaatlevenscyclusbeheer en heeft een aantal belangrijke aandachtspunten die u moet kennen voordat u het als standaard kiest.

• U kunt geen domein toevoegen of verwijderen aan een bestaand certificaat. U moet een volledig nieuw certificaat aanvragen en elk domein opnieuw valideren, inclusief domeinen die al gevalideerd zijn.
• De privésleutel van de root-CA van AWS Private CA is nooit exporteerbaar, dus als u later wilt overstappen naar een andere CA, moet u uw volledige certificaatketen opnieuw uitgeven.
• ACM is regionaal; een wereldwijde of multiregionale aanwezigheid vereist een expliciete replicatie- of federatiestrategie, geen standaardinstelling.
• Openbare certificaten worden geregistreerd in openbare Certificate Transparency-logboeken — plaats nooit vertrouwelijke informatie in de domeinnaam van een certificaat.
• Het eigen sleutelbeheermodel van ACM biedt geen HYOK-optie. HYOK vereist dat de externe sleutelopslag van AWS KMS afzonderlijk wordt geconfigureerd, en dat dekt alleen KMS-beveiligde gegevens, niet de ACM-certificaten zelf.

Checklist met best practices voor AWS ACM

Deze twaalf werkwijzen controleren we als eerste tijdens een AWS PKI-beoordeling, ongeveer in de volgorde waarin ze het belangrijkst zijn:

1. Controleer de vervaldatum van certificaten. Zelfs bij automatische verlenging van DNS-gevalideerde certificaten is het belangrijk om de vervaldatums handmatig bij te houden; geïmporteerde certificaten en uitzonderlijke gevallen worden niet automatisch verlengd.
2. Valideer certificaatverzoeken onmiddellijk. Gebruik bij voorkeur DNS-validatie; e-mailvalidatieverzoeken vervallen indien ze niet worden verwerkt en kunnen de uitgifte van een nieuwe dienst onderbreken.
3. Minimaliseer het gebruik van de root-CA. Geef dagelijks certificaten uit via een intermediaire CA en bewaar de root-CA in een aparte, streng beveiligde account.
4. Dwing het gebruik van TLS 1.2 of hoger af, bij voorkeur TLS 1.3. Schakel SSL en TLS 1.0/1.1 volledig uit; beide voldoen niet aan de huidige PCI DSS- en browservereisten.
5. Bescherm privésleutels. Gebruik bij voorkeur door ACM gegenereerde sleutels; als u certificaten importeert, vereis dan sterke sleutelparameters (minimaal RSA 2048-bit of ECDSA P-256/P-384).
6. Vermijd waar mogelijk wildcardcertificaten. Een certificaat voor één domein per host beperkt de impact als een van de sleutels in gevaar komt.
7. Beperk de import van certificaten. Certificaten en sleutels uitsluitend afkomstig van vertrouwde, verifieerbare bronnen.
8. Gebruik altijd een volledig gekwalificeerde domeinnaam (FQDN). In het certificaat, nooit een alias.
9. Controleer regelmatig uw certificateninventaris.en automatiseer de audit met AWS Config-regels in plaats van een handmatige kwartaalspreadsheet.
10. Schakel CloudTrail- en CloudWatch-alarmen in. vóór uw eerste certificaatverzoek, niet na een incident.
11. Gebruik nooit een pincode voor een door ACM beheerd certificaat. Automatische vernieuwing roteert het sleutelpaar en verbreekt de pincode.
12. Bepaal vooraf welk type toetsenbordbediening u wilt gebruiken. Leg in je CP/CPS vast of een workload gebruikmaakt van native ACM/KMS-sleutels, BYOK of HYOK voordat je opschaalt naar meer dan een handvol certificaten.

Wat zou Encryption Consulting aanbevelen?

ACM is een sterke standaard voor certificaten die volledig binnen AWS-native services worden gebruikt, en er is in dat geval geen reden om voor iets anders te betalen. Het is echter niet langer voldoende zodra certificaat- en sleutelbewerkingen AWS, Azure en GCP moeten omvatten, of wanneer een toezichthouder u vraagt ​​om het sleutelbeheer buiten AWS aan te tonen. In onze ervaringen is de terugkerende oorzaak van de problemen niet een zwak certificaat, maar het gebruik van ACM als het centrale systeem voor een omgeving waarvoor het nooit is ontworpen. We raden aan om ACM te gebruiken als één inschrijvingspunt onder een uniform certificaatbeheersysteem zoals CertSecure Manager , waarbij het sleutelbeheer wordt afgehandeld via PKI-as-a-Service of HSM-as-a-Service wanneer HYOK vereist is, in plaats van de ACM-console de enige plek te laten zijn waar iedereen het volledige certificaatoverzicht kan zien.

Veelgestelde Vragen / FAQ

Ondersteunt ACM het Hold Your Own Key (HYOK)-systeem?

Niet direct voor ACM-certificaten. AWS's equivalent van HYOK, KMS External Key Store (XKS), bewaart een sleutel buiten AWS en vereist dat AWS voor elke cryptografische bewerking uw externe sleutelbeheerder aanroept. XKS beschermt echter KMS-versleutelde gegevens, niet de privésleutels van ACM-certificaten, die ACM altijd zelf genereert en opslaat, tenzij u een certificaat importeert.

Is AWS Certificate Manager gratis?

Openbare certificaten die direct worden gebruikt met AWS-geïntegreerde services zoals Elastic Load Balancing, CloudFront en API Gateway zijn gratis. U betaalt alleen voor exporteerbare openbare certificaten ($7/FQDN, $79/wildcard), door ACME uitgegeven certificaten buiten deze gratis categorie en AWS Private CA, waarvoor een maandelijks bedrag per CA plus uitgiftekosten per certificaat in rekening worden gebracht.

Kan ik de privésleutel exporteren vanuit een door ACM uitgegeven certificaat?

Alleen als u specifiek een exporteerbaar openbaar certificaat hebt aangevraagd, waarvoor per FQDN een eigen vergoeding geldt. Standaard ACM-certificaten die worden gebruikt met AWS-geïntegreerde services genereren een privésleutel die, per definitie, nooit buiten ACM toegankelijk is.

Wat gebeurt er met mijn certificaten onder de kortere geldigheidsperiode van het CA/B Forum?

Er gaat niets automatisch mis als uw certificaten DNS-gevalideerd zijn en automatisch worden verlengd; ACM geeft standaard al nieuwe openbare certificaten uit met een standaardtermijn van 198 dagen. Het echte risico zit hem in certificaten die buiten het automatische verlengingsproces van ACM zijn uitgegeven, geïmporteerd of vastgezet. Daarvoor is een expliciet plan nodig voordat de termijn in maart 2027 wordt verkort tot 100 dagen en in maart 2029 tot 47 dagen.

Moet ik AWS Private CA gebruiken of een beheerde PKI-service?

AWS Private CA is een uitstekende keuze als alle gebruikers van uw certificaten zich binnen AWS bevinden. Als u ook certificaten uitgeeft aan Azure, GCP, on-premises servers of Kubernetes-clusters buiten AWS, kost een beheerde PKI-as-a-Service- laag die federeert met AWS Private CA doorgaans minder ontwikkeltijd dan het onderhouden van parallelle, losgekoppelde CA-hiërarchieën per cloud.

Als uw organisatie hulp nodig heeft bij het implementeren of federeren van AWS Certificate Manager en AWS Private CA in een breder PKI-programma, neem dan contact op met [email protected].