AWS Private CA で構築するプライベート PKI - 証明書の自動発行とローテーション
プライベート認証局を構築し、内部サービス間の mTLS 証明書を自動発行する。証明書のライフサイクル管理と CRL の設計を紹介します。
Private CA の概要
Private CA はプライベート証明書の発行・管理を自動化するマネージド認証局サービスです。ACM (AWS Certificate Manager) がパブリック証明書を無料で発行するのに対し、Private CA は組織内部で使用するプライベート証明書を発行します。マイクロサービス間の mTLS、VPN クライアント認証、IoT デバイス認証など、パブリック証明書では対応できないユースケースに使用します。
証明書の発行と mTLS
Private CA で発行した証明書をサービス間の mTLS に使用すると、通信の暗号化に加えてクライアントの認証も実現できます。短期証明書 (有効期間数時間から数日) を使用すると、証明書の失効リスト (CRL) の管理が不要になります。証明書の有効期間が短いため、漏洩した証明書が悪用される時間窓が極めて小さくなります。ACM との統合で ALB にプライベート証明書を自動デプロイし、内部 ALB の HTTPS 化を実現できます。
証明書テンプレートと自動化
Private CA は証明書テンプレートでサーバー証明書、クライアント証明書、コード署名証明書など用途別の証明書を発行します。 ACM との統合で、 Private CA が発行した証明書を ALB や API Gateway に自動デプロイし、更新も自動化されます。短期証明書 (有効期間 7 日以下) は CRL (証明書失効リスト) の管理を簡素化し、証明書の失効処理が不要になります。 OCSP (Online Certificate Status Protocol) レスポンダーで証明書の有効性をリアルタイムに検証する構成も可能です。 CloudFormation や Terraform で CA の作成と証明書の発行を自動化し、 IaC で PKI インフラを管理します。 証明書管理の基礎から応用まで、書籍 (Amazon)で体系的に学べます。
Private CA の料金
Private CA は月額約 400 ドル/CA で、発行した証明書数に応じた追加料金が発生します。最初の 1,000 枚は 1 枚あたり 0.75 ドル、10,000 枚までは 0.35 ドルです。短期証明書モードでは CA の月額料金が約 50 ドルに割引され、大量の短期証明書を発行するマイクロサービス環境でコスト効率が向上します。CA の階層構造 (ルート CA → 中間 CA) で、ルート CA をオフラインにして中間 CA のみを運用する設計がセキュリティのベストプラクティスです。
まとめ
Private CA は組織内部のプライベート証明書をマネージドに発行・管理するサービスです。短期証明書 (7 日以下) で CRL 管理を簡素化し、ACM 統合で証明書のデプロイと更新を自動化します。mTLS でサービス間の相互認証を実現し、CA の階層構造 (ルート CA + 中間 CA) でセキュリティのベストプラクティスに準拠した PKI を構築します。