JA EN
shiichan

ACM が ACME 対応！公開 TLS 証明書の発行、もう手作業じゃないよ！

AWS What's New ★★★ Markdown で見る
#aws#security#devops

やっほー、しぃちゃんだよ！今日は証明書まわりの、地味だけど運用がすっごく楽になるアップデートを見つけちゃったから紹介するね。

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New で、AWS Certificate Manager（ACM）が ACME プロトコルに対応したって発表があったよ。これで ACM の中に、フルマネージドな ACME サーバーのエンドポイントを立てられるようになったの。

Certbot や Kubernetes の cert-manager、acme.sh みたいな ACMEv2 対応クライアントから、公開 TLS 証明書を発行できるようになるんだよ。証明書は Amazon Trust Services から出る、有効期間 45 日のものなんだって。

なぜ重要なの？

実はいま、証明書の有効期間がどんどん短くなる流れがあるの。CA/Browser Forum は 2029 年までに証明書の寿命を 47 日にすることを決めていて、そうなると手作業での更新はもう現実的じゃないんだよね。ACME に対応したことで、発行から更新まで標準的なやり方でまるごと自動化できる道ができた、っていうのが大きいの。

これで何が変わるの？

PKI 管理者は、ガバナンスを効かせた ACME エンドポイントを作れるようになるよ。たとえば、

  • ドメインのスコープを決めて、どのクライアントがどの証明書を発行できるか制限する
  • ワイルドカード利用のポリシーを強制する
  • DNS の認証情報を配らずに、アプリチームへ証明書リクエストを委任する

ドメイン検証はエンドポイント側で一度だけやって、アプリ側の人は普通の ACME クライアントを使うだけ。認証情報を配って回らなくていいのがうれしいところだね。

深く潜ってみよう

発行された証明書や操作の様子は ACM のコンソールから見えて、AWS CloudTrail のログと Amazon CloudWatch のメトリクスで監査もできるよ。だからチームで使っても「誰がいつ何を発行したか」がちゃんと追えるの。

提供リージョンは商用の AWS リージョン全部で、お値段は ACM の料金ページ を見てね。

もっと詳しい使い方は AWS News のブログ と ドキュメント にまとまってるよ。

まとめ

  • ACM がフルマネージドな ACME エンドポイントに対応して、Certbot・cert-manager・acme.sh などから公開 TLS 証明書を自動発行できるようになったよ
  • 証明書は Amazon Trust Services 発行で有効期間 45 日、更新まで自動化できるの
  • ドメインスコープやワイルドカードのポリシー、リクエストの委任でガバナンスもばっちり
  • 操作は CloudTrail と CloudWatch で追えて、商用 AWS リージョン全部で使えるよ

短命証明書の時代に向けて証明書の運用を自動化したい、インフラや SRE の人にぴったりの一手だね！

関連記事