AWS a mis au point un nouveau service AWS Certificate Manager . Une chose que j'ai tirée de la description est que si nous utilisons ce service, nous n'avons plus à payer pour le certificat.
Ils fournissent des certificats pour Elastic Load Balancer (ELB) et CloudFront, mais je n'ai trouvé EC2 nulle part.
Existe-t-il un moyen d'utiliser le certificat avec EC2?
amazon-web-services
ssl
amazon-ec2
Bhavik Joshi
la source
la source
Réponses:
Vous ne pouvez pas installer les certificats créés par Amazon Certificate Manager (ACM) sur des ressources auxquelles vous avez un accès direct de bas niveau, comme EC2 ou des serveurs en dehors d'AWS, car vous n'avez pas accès aux clés privées. Ces certificats ne peuvent être déployés que sur des ressources gérées par l'infrastructure AWS - ELB et CloudFront - car l'infrastructure AWS détient les seules copies des clés privées pour les certificats qu'elle génère, et les maintient sous une sécurité stricte avec des contrôles d'accès internes vérifiables .
Il faudrait que vos machines EC2 écoutent derrière CloudFront ou ELB (ou les deux, en cascade, fonctionneraient également) afin d'utiliser ces certificats pour le contenu provenant d'EC2 ... car vous ne pouvez pas installer ces certificats directement sur les machines EC2 .
la source
*.amazonaws.comnom d'hôte EC2 car, assez raisonnablement, la stratégie Let's Encrypt ne le permet pas ... mais pour un domaine que vous contrôlez qui pointe vers une IP d'instance EC2, ou ELB, ou CloudFront, vous pouvez très certainement utiliser Let's Encrypt, comme partout ailleurs.Non, vous ne pouvez pas utiliser le gestionnaire de certificats aws pour déployer des certificats sur EC2. Les certificats du gestionnaire de certificats ne peuvent être déployés que sur cloudfront et un équilibreur de charge élastique. Inoredr pour l'utiliser sur ec2, vous devez placer elb au-dessus de ec2, de sorte que la demande du client à l'équilibreur de charge soit protégée par https et d'elb au serveur Web ec2 sera sur http.
la source
Si vous utilisez AWS ACM Cert à des fins internes uniquement, vous pouvez probablement utiliser AWS ACM Private CA pour émettre les certificats (je pense que vous pouvez également l'utiliser à des fins de trafic public / externe si votre autorité de certification racine est une autorité de certification de confiance publique).
https://docs.aws.amazon.com/acm-pca/latest/userguide/PcaGetStarted.html
Lors du démarrage de l'application / EC2 / conteneur, définissez une étape pour exporter votre certificat / clé privée émis par l'autorité de certification privée ACM vers votre destination et commencez à vous y référer pour servir le trafic.
https://docs.aws.amazon.com/cli/latest/reference/acm/export-certificate.html
Une bonne chose est que vous pouvez contrôler qui peut appeler la fonctionnalité de certificat d'exportation à l'aide du rôle IAM afin que tout le monde ne puisse pas télécharger la clé privée du certificat.
Un inconvénient est que l'autorité de certification privée est un service AWS coûteux (400 USD / mois). https://aws.amazon.com/certificate-manager/pricing/
la source
One downside with this is, private CA is expensive AWS service($400/month).en haut car par exemple, je le manquerais si je ne lisais pas cette réponse 2ème foisEn ajoutant aux commentaires ci-dessus, vous ne pouvez pas utiliser AWS Certificate Manager pour cela, mais vous pouvez ajouter un certificat Let's Encrypt à ec2 sur un serveur Windows exécutant IIS et c'est assez simple:
Associez une adresse IP élastique à votre instance ec2.
Assurez-vous d'avoir un domaine enregistré. Vous ne pouvez pas utiliser les noms de type ec2----------.us-east-1.compute.amazonaws.com fournis avec votre instance.
Grâce aux paramètres DNS de votre fournisseur de domaine, faites pointer votre domaine vers votre adresse IP Elastic.
Connectez-vous à votre instance ec2 et ajoutez votre nom de domaine aux liaisons de site.
Allez sur https://github.com/PKISharp/win-acme/releases
Regardez sous les actifs et utilisez la dernière version (win-acme.v2.0.10.444.zip par exemple). C'est le seul dossier d'actifs dont vous avez besoin.
Décompressez le dossier, ouvrez le terminal en tant qu'administrateur et cd dans le dossier décompressé.
Exécutez wacs.exe et suivez les invites.
Assurez-vous que le groupe de sécurité attribué à votre instance autorise le trafic (au moins votre propre adresse IP) via le port HTTPS que vous avez choisi dans IIS; c'est le port 443 par défaut.
J'ai trouvé les liens ci-dessous utiles lorsque j'ai compris cela. Voici une vidéo utilisant une version antérieure si vous avez besoin de plus d'aide, mais c'est la même idée.
https://www.youtube.com/watch?v=fq5OUOjumuM
Cet article peut également être utile:
https://weblog.west-wind.com/posts/2016/feb/22/using-lets-encrypt-with-iis-on-windows
la source