亚马逊AWS官方博客

AWS Certificate Manager 推出可导出的公有 SSL/TLS 证书，可在任何地方使用

现在，我们宣布 AWS Certificate Manager (ACM) 推出一项全新功能：可导出的公共 SSL/TLS 证书。在此发布之前，您可以免费签发自己的公共证书，或者导入由第三方证书颁发机构 (CA) 签发的证书，并将它们部署到集成的 AWS 服务中，比如弹性负载均衡（ELB）、Amazon CloudFront 分发和 Amazon API Gateway。

现在，您可以从 ACM 中导出公共证书，访问私钥，并将其用于 Amazon Elastic Compute Cloud (Amazon EC2) 实例、容器或本地主机上运行的任何工作负载。可导出的公共证书的有效期为 395 天。签发证书时将产生费用，延长证书有效期时也会再次收费。 从 ACM 导出的公共证书由 Amazon Trust Services 签发，受到苹果和微软等常用平台以及谷歌浏览器和 Mozilla Firefox 等常用网络浏览器的广泛信任。

应用实例

要导出公共证书，首先需要申请新的可导出公共证书。您无法导出先前创建的公共证书。

要开始导出公共证书，请在 ACM 控制台中选择“申请证书”，然后在“允许导出”部分选择“启用导出”。如果选择了“禁用导出”，则不允许从 ACM 导出此证书的私钥，此外，在证书签发后，这一选项将无法更改。

您还可以使用 request-certificate 命令在 AWS 命令行界面（AWS CLI）上申请带有 Export=ENABLED 选项的可导出公共证书。

aws acm request-certificate \
--domain-name mydomain.com \
--key-algorithm EC_Prime256v1 \
--validation-method DNS \
--idempotency-token <token> \
--options \
CertificateTransparencyLoggingPreference=DISABLED \
Export=ENABLED

申请公共证书后，必须验证您的域名，以证明对正申请证书的域名拥有所有权或控制权。证书通常在成功进行域名验证后的几秒钟内签发。

当证书进入已签发状态时，您可以通过选择“导出”来导出已签发的公共证书。

导出您的公共证书

输入用于加密私钥的密码短语。稍后您将需要这里输入的密码短语来解密私钥。要获取公钥，请选择“生成 PEM 编码”。

您可以复制 PEM 编码的证书、证书链和私钥，也可以将它们下载到单独的文件中。

下载 PEM 密钥

您可以使用 export-certificate 命令导出公有证书和私钥。为了提高安全性，可以用文件编辑器将您的密码短语和输出密钥存储到文件中，以防止密码短语和输出密钥被存储在命令历史记录中。

aws acm export-certificate \
     --certificate-arn arn:aws:acm:us-east-1:<accountID>:certificate/<certificateID> \
     --passphrase fileb://path-to-passphrase-file \
     | jq -r '"\(.Certificate)\(.CertificateChain)\(.PrivateKey)"' \
     > /tmp/export.txt

现在，您可以将导出的公共证书用于任何需要 SSL/TLS 通信的工作负载，例如 Amazon EC2 实例。要了解更多信息，请访问在 EC2 实例中的亚马逊 Linux 上配置 SSL/TLS。

注意事项

关于可导出的公共证书，需要了解以下几点：

  • 密钥安全 — 贵组织的管理员可以设置 AWS IAM 策略，以授权可以申请可导出公有证书的角色和用户。当前有权签发证书的 ACM 用户将自动获得签发可导出证书的权利。ACM 管理员还可以管理证书并采取诸如吊销或删除证书之类的操作。您应该使用安全存储和访问控制来保护导出的私钥。
  • 吊销 — 您可能需要撤销可导出的公共证书，以遵守贵组织的政策或降低密钥泄露风险。您只能吊销先前导出的证书。证书吊销过程是全局性、永久性的。证书被吊销后，您将无法找回被吊销的证书来重新使用了。要了解更多信息，请访问 AWS 文档中的吊销公有证书。
  • 延长有效期 — 您可以为 Amazon EventBridge 可导出的公共证书配置自动延期事件，以监控证书有效期延期并创建自动化以在延期时处理证书部署。要了解更多信息，请访问 AWS 文档中的使用 Amazon EventBridge。您也可以根据需要延长这些证书的有效期。延长证书的有效期时，您需要为新证书的签发付费。要了解更多信息，请访问 AWS 文档中的强制证书有效期延长。

现已推出

您现在可以从 ACM 签发可导出的公共证书，并导出带有私钥的证书，以使用其他计算工作负载以及 ELB、Amazon CloudFront 和 Amazon API Gateway。

使用 ACM 创建可导出的公共证书时，您需要为该证书支付额外费用。每个完全限定域名的费用为 15 美元，而每个通配符域名的费用则为 149 美元。在证书有效期内，您只需支付一次费用，并且只有在延长证书有效期时才需要再次付费。要了解更多信息，请访问 AWS Certificate Manager 服务定价页面。

在 ACM 控制台中试用 ACM 可导出的公共证书。要了解更多信息，请访问 ACM 文档页面；如有反馈，请发送至 ACM 的 AWS re:Post，或通过您通常使用的 AWS Support 联系人联系。

— Channy

*前述特定亚马逊云科技生成式人工智能相关的服务仅在亚马逊云科技海外区域可用，亚马逊云科技中国仅为帮助您了解行业前沿技术和发展海外业务选择推介该服务。