AWS Private Certificate Authority
プライベート証明書の発行・管理を行うマネージド認証局サービス
何ができるか
AWS Private Certificate Authority (Private CA) は、組織内部で使用するプライベート SSL/TLS 証明書を発行・管理するマネージドサービスです。社内アプリケーション、IoT デバイス、VPN、コンテナ間通信などの暗号化に使用するプライベート証明書を、自前の認証局インフラなしに発行できます。
どのような場面で使うか
社内 Web アプリケーションの HTTPS 化、マイクロサービス間の mTLS (相互 TLS) 認証、IoT デバイスの証明書ベース認証、VPN クライアント証明書の発行に利用されます。 この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。
身近な例え
社内の身分証明書発行所に例えられます。公的な身分証 (ACM のパブリック証明書) は役所 (パブリック CA) が発行しますが、社員証 (プライベート証明書) は社内の発行所 (Private CA) が発行します。社内でのみ有効ですが、社内システムへのアクセス認証に使えます。
Private CA とは
AWS Private CA は、プライベート PKI (公開鍵基盤) をマネージドで提供するサービスです。ACM (AWS Certificate Manager) がパブリック証明書を無料で発行するのに対し、Private CA は組織内部で信頼されるプライベート証明書を発行します。ルート CA と下位 CA の階層構造を構築でき、証明書の失効管理 (CRL、OCSP) も提供します。
証明書の発行と管理
Private CA で発行した証明書は ACM に統合され、ELB、CloudFront、API Gateway などの AWS サービスに直接デプロイできます。証明書テンプレートでサーバー証明書、クライアント証明書、コードサイニング証明書などの用途を指定します。証明書の有効期限管理と自動更新も ACM との統合で実現できます。
はじめかた
Private CA コンソールで CA を作成し、CA の種類 (ルート CA / 下位 CA)、キーアルゴリズム、有効期間を設定します。CA が有効化されたら、ACM コンソールまたは API でプライベート証明書をリクエストします。短期証明書モードを選択すると、月額料金が低減されます。
注意点
- CA ごとに月額 $400 の固定料金が発生する (短期証明書モードは月額 $50)。証明書の発行数に応じた従量課金も別途発生
- パブリック Web サイトの HTTPS 化には ACM のパブリック証明書 (無料) を使用する。Private CA は社内システム向け
さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。
