亚马逊AWS官方博客
·
借助 AWS Certificate Manager 中的 ACME 支持，自动颁发公共 TLS 证书
内容提要
AWS Certificate Manager（ACM）现已支持ACME协议，能够自动颁发公共TLS证书，简化证书管理。PKI管理员可以通过集中管理ACME端点来控制证书申请权限和自动化域验证，从而提升安全性和效率。该功能已在所有商业AWS区域上线，定价依据每个证书的域名数量。
关键要点
-
AWS Certificate Manager（ACM）现已支持ACME协议，能够自动颁发公共TLS证书。
-
ACM提供全托管ACME服务端点，兼容所有符合ACMEv2标准的客户端。
-
PKI管理员可以集中管理和监控整个组织的ACME证书使用情况，提升安全性和效率。
-
通过外部账户绑定（EAB）配置，PKI管理员可以对证书申请进行精细的访问控制。
-
ACM会自动创建域验证所需的DNS CNAME记录，简化域验证流程。
-
ACM中的ACME支持功能已在所有商业AWS区域上线，定价依据每个证书的域名数量。
延伸解读
自动化证书管理的重要性
随着TLS证书有效期的缩短，手动续订变得愈加困难。ACM的ACME支持能够自动化证书的申请和续订，减少了因证书过期导致的服务中断风险，提升了整体安全性和管理效率。
集中管理的优势
通过ACM的集中管理功能，PKI管理员可以监控和控制整个组织的证书使用情况。这种集中化不仅提高了可见性，还简化了域验证流程，避免了不同证书存放在多个地方带来的管理复杂性。
外部账户绑定（EAB）的作用
EAB配置允许PKI管理员对证书申请进行精细的访问控制，确保只有授权人员可以申请特定域的证书。这种机制增强了安全性，防止了潜在的滥用风险。
延伸问答
AWS Certificate Manager 的 ACME 支持有什么新功能？
AWS Certificate Manager 现在支持 ACME 协议，能够自动颁发公共 TLS 证书，简化证书管理。
PKI 管理员如何通过 ACM 管理证书？
PKI 管理员可以集中管理和监控整个组织的 ACME 证书使用情况，并通过外部账户绑定配置访问控制。
ACM 中的 ACME 支持如何简化域验证流程？
ACM 会自动创建域验证所需的 DNS CNAME 记录，简化了域验证的操作。
使用 ACM 的 ACME 支持有什么定价策略？
定价基于每个证书的域名数量，完全合格域名和通配符的价格不同。
如何设置专用的 ACME 端点？
需要创建 ACME 端点，使用外部账户绑定配置授权控制，并验证该端点可以为哪些域颁发证书。
ACM 中的 ACME 支持在哪些区域可用？
ACM 中的 ACME 支持功能已在所有商业 AWS 区域上线，后续将在 AWS GovCloud（美国）、中国区域和 AWS European Sovereign Cloud 分区提供。
