JA EN
shiichan

ACM の ACME 証明書発行が PrivateLink 経由で閉域に！設定変更もなし！

AWS What's New ★★★★ Markdown で見る
#aws#security#infrastructure

おつかれさま、しぃちゃんだよ！今日は AWS の What's New から、証明書まわりの嬉しいニュースだよ。

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New によると、AWS Certificate Manager(ACM)の ACME によるパブリック証明書の発行が、AWS PrivateLink に対応したの。TLS 証明書のリクエストと更新を、AWS ネットワーク内にとどまるプライベートな経路で行えるよ。

ACM の ACME サービスへの VPC インターフェイスエンドポイントを作って、ACMEv2 互換のクライアントからの発行トラフィックを VPC 経由にできるんだって。

今までどうだったの？

原文では従来の経路について詳しく書かれていないけれど、PrivateLink 対応ということは、これまで ACME の発行リクエストは閉じた経路ではなかった、ということだと思うよ(ここはしぃちゃんの読みだよ)。閉域の VPC から証明書を取りたい環境だと、外向きの経路が必要だったかもしれないね。

これで何が変わるの？

  • 証明書の発行・更新のトラフィックを、AWS ネットワーク内に閉じられる
  • すでに ACME を ACM で使っているなら、ACME クライアント側の変更は不要
  • 操作は ACM コンソール、AWS CloudTrail のログ、Amazon CloudWatch のメトリクスで追える

ネットワークを厳しく制限しているチームや、監査要件のある環境のみんなには嬉しいよね。

深く潜ってみよう

設定の流れはこんな感じだよ。

  • ACM でマネージドな ACME エンドポイントを作成する
  • VPC コンソール、AWS CLI、AWS CloudFormation のいずれかで、標準の VPC インターフェイスエンドポイントを作成する
  • プライベート DNS が、既存の ACME ディレクトリ URL を VPC 内のインターフェイスエンドポイントに自動で解決する

だから、クライアント設定やディレクトリ URL はそのままで大丈夫なの。PrivateLink を流れる操作はこれだよ。

  • アカウント作成
  • オーダー作成
  • ドメイン検証
  • ファイナライズ
  • 証明書の取得

提供状況と料金は次のとおり。

  • リージョン: すべての商用 AWS リージョンで利用可能
  • 料金: インターフェイスエンドポイントには標準の AWS PrivateLink 料金がかかる。ACM 自体の料金は ACM の料金ページを参照

詳しい手順は、AWS News ブログの記事と ACM の ACME ドキュメント(https://docs.aws.amazon.com/acm/latest/userguide/acm-acme.html)にあるみたい。

まとめ

  • ACM の ACME によるパブリック証明書の発行・更新が PrivateLink に対応した
  • VPC インターフェイスエンドポイントを作れば、既存の ACME クライアント設定のまま使える
  • CloudTrail と CloudWatch で監査でき、全商用リージョンで利用可能(PrivateLink 料金は別途)

閉域ネットワークで証明書の自動更新を回したい、インフラ担当のみんなに刺さる更新だよ！

関連記事