PKI – Amazon Web Services (AWS)

Public Key Infrastructure på AWS körs genom två tjänster: AWS Certificate Manager (ACM) för publika TLS-certifikat och ACM Private CA för en organisations egen certifikatutfärdarhierarki. Detta är viktigt eftersom publika certifikats livslängder krymper snabbt under nya branschregler, ner till 198 dagar från och med februari 2026 och på väg till 47 dagar år 2029, vilket gör manuell certifikathantering ohållbar. Rekommenderad åtgärd: använd ACM:s kostnadsfria automatiska förnyelse för publika certifikat och ACM Private CA för intern PKI, och automatisera allt annat nu snarare än efter att nästa förkortade giltighetsperiod har löpt ut.

Publicerad: augusti 2020. Uppdaterad: augusti 2026. Granskad av Encryption Consultings PKI-tjänsteteam.

För en fullständig operativ behandling av bästa praxis för ACM specifikt, se AWS Certificate Manager (ACM) – Bästa praxis . För en djupare titt på hur du kör din egen CA-hierarki på AWS, se AWS Certificate Manager Private CA. För hur PKI jämförs mellan moln, se Vad är molnbaserad PKI-arkitektur ?.

Vad är PKI på AWS?

Public Key Infrastructure (PKI) på AWS är byggd kring AWS Certificate Manager (ACM), tjänsten som skapar, hanterar och distribuerar offentliga och privata SSL/TLS X.509-certifikat och nycklar. Certifikat autentiserar identiteten på en webbplats eller privat resurs och skyddar data som flödar till den. AWS-stödda certifikat kan komma från två olika vägar: ACM utfärdar ett offentligt certifikat direkt, eller en organisation som driver sin egen privata certifikatutfärdare via ACM Private CA och utfärdar certifikat från den.

Hur fungerar nativ kontra extern nyckelkontroll för AWS PKI?

AWS PKI erbjuder flera modeller för hur ett certifikats underliggande nyckelmaterial genereras och lagras:

Modell	Hur det fungerar	Bästa passform
ACM offentliga certifikat (inbyggda)	AWS genererar och hanterar nyckelparet och certifikatet; används med integrerade tjänster som CloudFront, Elastic Load Balancing och API Gateway.	Offentliga webbplatser och tjänster med betydande trafik som behöver kostnadsfria, automatiskt förnyande certifikat.
ACM Privat CA, allmänt bruk (inbyggd)	En organisation kör sin egen CA-hierarki inom AWS, med valfri certifikatgiltighetsperiod.	Intern PKI för autentisering av användare, applikationer, tjänster och enheter; certifikat kan inte användas på det offentliga internet.
ACM Privat CA, kortlivat läge (inbyggt)	Samma privata CA-hierarki, begränsad till certifikat som är giltiga i upp till 7 dagar, till en lägre månadskostnad.	Högvolyms, kortlivade arbetsbelastningar (containrar, service mesh) som ändå ofta utfärdar certifikat igen.
Importerade (BYOK) certifikat	Ett tredjepartscertifikat och dess nyckelmaterial importeras till ACM för användning med integrerade AWS-tjänster.	Organisationer som redan köper certifikat från en extern CA och vill ha automatisering av AWS-sidans distribution.
Extern CA-korssignering / Extern KMS-nyckellagring	En privat CA:s rotadress stannar hos en extern, organisationsstyrd auktoritet, eller så innehas krypteringsnycklarna bakom själva AWS KMS av en extern nyckelhanterare (XKS).	Reglerade miljöer där en tillsynsmyndighet eller ett kontrakt kräver AWS innehar aldrig det auktoritativa rot- eller nyckelmaterialet.

Använd ACM:s kostnadsfria publika certifikat som standard för allt som rör internet, och ACM:s privata certifikatutfärdare för intern PKI; reservera BYOK eller extern korssignering för en specifik ursprungskälla eller ett specifikt myndighetskrav.

Hur bör IAM struktureras för AWS PKI?

1. Bevilja certifikatbegäran och exportbehörigheter separat, eftersom export av ett certifikats privata nyckel är en åtgärd med väsentligt högre risk än att begära en för användning med en integrerad tjänst.
2. Omfatta administrativa behörigheter för ACM Private CA (skapa eller ta bort en CA) till en liten, dedikerad grupp, separat från den bredare uppsättningen identiteter som tillåts begära certifikat från den CA:n.
3. Använd resursbaserade policyer på den privata certifikatutfärdaren för att styra vilka konton och tjänster i en organisation som kan utfärda certifikat från den.
4. Granska IAM-policyer som beviljar ACM- och privata certifikatutfärdare-behörigheter i samma takt som andra granskningar av produktionsåtkomst.

Vilka är AWS Certificate Managers nuvarande certifikategenskaper?

Karakteristisk	Detalj
Domänvalidering	ACM-certifikat är domänvaliderade; ämnesfältet identifierar ett domännamn, validerat via e-post eller DNS.
Giltighetstid	198 dagar som standard från och med den 18 februari 2026 (tidigare 395 dagar), enligt CA/Browser Forums 200-dagarsgräns som trädde i kraft den 15 mars 2026.
Hanterad förnyelse	ACM förnyar automatiskt giltiga certifikat, nu ungefär 45 dagar innan de löper ut för den kortare giltighetsperioden.
Webbläsar- och applikationsförtroende	Betrott av alla större webbläsare (Chrome, Edge, Firefox, Safari) och av Java.
Flera domännamn	Varje certifikat innehåller ett fullständigt kvalificerat domännamn (FQDN) med ytterligare namn som kan läggas till.
Jokerteckennamn	En asterisk (*) i domännamnet skyddar flera webbplatser inom samma domän med ett certifikat.
Algoritmer som stöds	2048-bitars och 4096-bitars RSA (RSA_2048, RSA_4096), och elliptisk kurva P-256 och P-384 (EC_prime256v1, EC_secp384r1).

Hur ska man hantera certifikatrotation och förnyelse på AWS?

ACM:s automatiska förnyelse hanterar mekanismerna för integrerade tjänster, men den underliggande giltighetsperioden krymper hela tiden enligt ett publicerat branschschema, så en manuell, kalenderbaserad förnyelseprocess kommer inte att hålla jämna steg:

Datum	Maximal giltighetstid för offentliga certifikat
Mars 15, 2026	200 dagar (ACM:s egen standard ändrades till 198 dagar den 18 februari 2026)
Mars 15, 2027	100 DAYS
Mars 15, 2029	47 DAYS

År 2029 kommer en domän som förnyas manuellt idag att behöva ungefär åtta gånger så många förnyelser per år. För certifikat som utfärdas från ACM Private CA är det värt att medvetet använda kortlivat certifikatläge (7 dagars giltighet) för arbetsbelastningar som redan ofta utfärdar nya autentiseringsuppgifter, såsom containrar och service mesh-sidecars, snarare än att behandla korta livslängder enbart som en externt påtvingad begränsning.

Vad ska du logga för AWS PKI?

• AWS CloudTrail-evenemang för varje certifikatbegäran, export, förnyelse och privat CA-livscykelåtgärd (skapa, ta bort, inaktivera).
• ACM Private CA-revisionsrapporter, som listar alla certifikat som utfärdats av en given CA för efterlevnadsgranskning.
• Aviseringar om certifikatutgång och misslyckad förnyelse från Amazon CloudWatch, så ett förnyelsefel upptäcks innan certifikatet faktiskt löper ut.

Vad kostar AWS PKI?

Offentliga certifikat som tillhandahålls via ACM för användning med integrerade AWS-tjänster är gratis; en organisation betalar endast för de underliggande AWS-resurserna. Exporterbara offentliga certifikat kostar 7 dollar per fullständigt kvalificerat domännamn och 79 dollar per jokerteckencertifikat, båda sänkta från 15 dollar respektive 149 dollar i samband med giltighetsändringen i februari 2026. ACM Private CA prissätts i två nivåer: allmänt läge på 400 dollar per CA per månad (valfri giltighetsperiod) eller kortlivat certifikatläge på 50 dollar per CA per månad (certifikat begränsade till 7 dagar), plus utfärdandeavgifter per certifikat som skalas ner vid högre månadsvolymer (så lågt som 0.001 dollar vardera över 10 000 certifikat per månad för allmänt ändamål, eller fasta 0.058 dollar vardera för kortlivat läge). Bekräfta aktuella priser mot AWS egna prissidor innan du budgeterar en storskalig privat CA-utrullning.

Hur ser en multi-cloud PKI-arkitektur ut?

Varje större moln kör sin egen certifikatutfärdartjänst (ACM Private CA på AWS, Certificate Authority Service på GCP och integration med Key Vault-baserade CA:er på Azure), och ingen av dem utfärdar eller litar direkt på en annans privata CA-hierarki. En konsekvent PKI-arkitektur för flera moln utser antingen ett molns privata CA som roten för det förtroende som andra är underordnade, eller upprätthåller en oberoende företagsrot utanför ett enskilt moln och utfärdar underordnade CA:er till var och en.

Se Vad är molnbaserad PKI-arkitektur? för en fullständig genomgång av hur PKI-arkitekturen skiljer sig åt mellan AWS, GCP och Azure.

Vilka är begränsningarna med AWS PKI?

• Certifikat utfärdade från ACM Private CA kan inte användas på det publika internet; de är endast giltiga för intern autentisering.
• Den branschövergripande övergången till kortare giltighetsperioder för certifikat innebär att alla manuella certifikathanteringsprocesser kommer att hamna på efterkälken inom de närmaste förnyelsecyklerna.
• ACM Private CA:s allmänna läge har en väsentligt högre fast månadsavgift än korttidsläget, vilket måste vägas mot faktiska behov av giltighetstid.
• ACM:s automatiska förnyelse gäller endast certifikat som används med integrerade AWS-tjänster; exporterade certifikat kräver att organisationen själv hanterar förnyelsen.

Checklista för beslut: Att välja rätt AWS PKI-tjänst

1. Använd ACM:s kostnadsfria offentliga certifikat för allt internetbaserat som serveras via en integrerad AWS-tjänst.
2. Stand up ACM Private CA för intern autentisering av användare, applikationer, tjänster och enheter.
3. Välj allmänt eller kortlivat privat CA-läge baserat på den faktiska giltighetsperiod som dina arbetsbelastningar behöver, inte som standard.
4. Automatisera hanteringen av certifikatlivscykeln nu, innan 100-dagarstaket träder i kraft i mars 2027.
5. Separera behörigheter för certifikatbegäran från behörigheter för certifikatexport och privat certifikatutfärdaradministration i IAM.

Vad skulle krypteringskonsulter rekommendera?

De flesta AWS-kunder vi arbetar med har byggt sina certifikatprocesser kring 90-dagars eller årliga förnyelsecykler som giltighetsminskningarna 2026 redan har brutit. Encryption Consultings PKI-tjänster designar och implementerar er ACM- och ACM Private CA-hierarki, och vår PKI-as-a-Service och CertSecure Manager automatiserar hanteringen av certifikatlivscykeln i AWS och alla andra miljöer ni kör, så att nästa giltighetsminskning är en icke-händelse snarare än en förvrängning.

Vanliga frågor om partihandel med mat och dryck

Vad är skillnaden mellan ACM och ACM Private CA?

ACM utfärdar kostnadsfria, offentligt betrodda certifikat för användning med integrerade AWS-tjänster. ACM Private CA låter en organisation köra sin egen certifikatutfärdarhierarki för interna certifikat, fakturerade separat per månad plus per certifikat.

Hur länge är AWS offentliga certifikat giltiga nu?

ACM:s standardgiltighet sänktes till 198 dagar från och med den 18 februari 2026, innan CA/Browser Forums 200-dagarsgräns trädde i kraft den 15 mars 2026. Ytterligare obligatoriska nedskärningar gör att det maximala värdet uppgår till 100 dagar i mars 2027 och 47 dagar i mars 2029.

Hur mycket kostar ACM Private CA?

Allmänt läge kostar 400 USD per CA per månad under en giltighetsperiod; kortlivat certifikatläge kostar 50 USD per CA per månad för certifikat med en gräns på 7 dagar. Båda lägger till avgifter per certifikatutfärdande.

Kan certifikat utfärdade av ACM Private CA användas på det publika internet?

Nej. Privata CA-certifikat är endast för intern autentisering; offentliga tjänster behöver ett offentligt betrott certifikat från ACM självt eller en annan offentlig CA.

Stöder AWS BYOK eller HYOK för PKI?

ACM stöder import av tredjepartscertifikat och deras nyckelmaterial (en BYOK-liknande modell). För HYOK-liknande hantering av krypteringsnycklarna bakom AWS-tjänster i bredare utsträckning stöder AWS KMS External Key Store (XKS), som lagrar det auktoritativa nyckelmaterialet hos en extern nyckelhanterare.

Behöver du hjälp med att automatisera ditt AWS-certifikats livscykel inför nästa giltighetsperiodsförkortning? Prata med Encryption Consultings PKI-tjänsteteam.

Referensprojekt

Vanliga frågor om AWS Certificate Manager – aws.amazon.com

AWS Private CA-priser – aws.amazon.com

AWS Certificate Manager uppdaterar standardcertifikatgiltighet – aws.amazon.com