Automatización de la gestión de certificados SSL/TLS con AWS Certificate Manager - Desde la emisión hasta la rotación
Explicamos la emisión gratuita de certificados públicos con ACM, la validación DNS, la renovación automática y el despliegue en ALB y CloudFront.
Descripción general de ACM
ACM es un servicio que automatiza la emisión, gestión y despliegue de certificados SSL/TLS. Los certificados públicos se emiten de forma gratuita y pueden desplegarse en ALB, NLB, CloudFront, API Gateway y Elastic Beanstalk con unos pocos clics. A diferencia de Let's Encrypt, la renovación de certificados está completamente automatizada, eliminando la necesidad de gestionar trabajos cron o certbot. No es posible instalar certificados directamente en instancias EC2, por lo que si se necesita terminar HTTPS en EC2, se debe colocar un ALB delante o utilizar Let's Encrypt.
Validación DNS y renovación automática
Existen dos métodos de validación de certificados: validación DNS y validación por correo electrónico. En la validación DNS, se agrega un registro CNAME especificado por ACM en Route 53 (o DNS externo). Si se utiliza Route 53, se puede agregar con un solo clic desde la consola. La validación por correo electrónico envía un correo de confirmación a la dirección del administrador del dominio, pero como requiere aprobación manual en cada renovación, se recomienda encarecidamente la validación DNS. El registro de validación DNS permanece válido mientras no se elimine y se utiliza continuamente para la renovación automática del certificado. La renovación automática comienza 60 días antes de la fecha de vencimiento del certificado y se renueva automáticamente mientras exista el registro de validación DNS y el certificado esté asociado a un recurso de AWS. El período de validez del certificado es de 13 meses, y el certificado renovado se refleja automáticamente en ALB y CloudFront.
Certificados privados y transparencia de certificados
Al integrarse con ACM Private CA, se pueden emitir certificados privados para la comunicación entre servicios internos de la organización. Los certificados públicos se registran en los registros de Certificate Transparency (CT), por lo que si no se desea exponer los nombres de host de servicios internos, se deben utilizar certificados privados. También es posible gestionar certificados emitidos por CA externas mediante la función de importación de ACM, pero la renovación automática solo es compatible con certificados emitidos por ACM. Cuando se acerca la fecha de vencimiento del certificado, se notifica mediante métricas de CloudWatch y eventos de EventBridge para prevenir renovaciones olvidadas. Es necesario emitir certificados por cada región, por lo que en configuraciones multirregión se gestionan certificados en cada región. Para aprender exhaustivamente las mejores prácticas de ACM, consulte libros técnicos (Amazon).
Precios de ACM
Los certificados públicos de ACM se emiten y renuevan de forma gratuita. No se generan cargos adicionales por el despliegue en ALB, CloudFront o API Gateway. ACM Private CA tiene un costo mensual de aproximadamente 400 dólares por CA, con cargos adicionales según el número de certificados emitidos (0.75 dólares por certificado para los primeros 1,000). En el modo de certificados de corta duración (período de validez de 7 días o menos), el cargo mensual de la CA se reduce a aproximadamente 50 dólares. Para casos de uso que pueden cubrirse con certificados públicos, se aprovechan los certificados gratuitos de ACM, limitando Private CA a casos necesarios como mTLS o autenticación de servicios internos para gestionar los costos.
Resumen
ACM es un servicio que automatiza de forma gratuita desde la emisión hasta la renovación de certificados SSL/TLS públicos. Una vez configurada la validación DNS, los certificados se mantienen sin intervención manual, y el despliegue en ALB y CloudFront se realiza de forma transparente. Con la integración de Private CA, también se admite la autenticación mTLS para servicios internos, centralizando la gestión de certificados de toda la organización.