AWS Certificate Manager
無料 HTTPS 証明書
CloudFront、ALB、API Gateway 向けの SSL/TLS 証明書を発行し、自動で更新します。
- コスト$ 安い
- 難易度●●●●●
- 未使用でも課金？いいえ
- AWS マネージド
- 出題試験CLF · SAA · SOA
たとえるならWeb サイトの本人証明書を発行し、期限が切れると自動で更新してくれる機関のようなものです。
ACM はシステムのどこにある？
ACMACM が呼び出す
具体例でステップごとに
- ショップのサイトが HTTP のままで、ブラウザに「保護されていない通信」と表示されています。
- ACM でドメインのパブリック証明書をリクエストし、DNS 検証を選びます。
- ACM が示す CNAME レコードを Route 53 にワンクリックで追加すると、数分で証明書が無料で発行されます。
- 証明書を Application Load Balancer に設定します（CloudFront に使う場合は us-east-1 で作成する必要があります）。
- 毎年 ACM が自動で証明書を更新するので、更新忘れでサイトが止まることはもうありません。
いつ使う？
✓ 使うべき場面
AWS 上のドメインで HTTPS を有効にする場合。
✗ 避けるべき場面
独自サーバー向けの社内 CA が必要 → Private CA。
よくある使い方
- CloudFront、ALB、API Gateway の HTTPS
- 自動更新される証明書で、期限切れの心配なし
- ワイルドカード証明書 *.example.com
ACM・KMS・CloudFront の違い
| ACM |  KMS |  CloudFront | |
|---|---|---|---|
| 管理するもの | SSL/TLS 証明書 | データ暗号化キー | 管理しない（証明書を使うだけ） |
| 暗号化の対象 | 転送中のデータ（HTTPS） | 保存データ | ACM 証明書で HTTPS を有効化 |
| 更新/ローテーション | 自動更新（DNS 検証） | キーの自動ローテーション | 該当なし |
| 料金 | パブリック証明書は無料 | キー + 呼び出し数 | データ転送量 |
料金はいくら？
- 課金方式: 統合された AWS サービスに関連付ける public 証明書: 無料。外部にエクスポートする証明書（exportable）と Private CA: 有料。
- 無料枠: AWS サービスに関連付ける public 証明書は無料です。
誤って Private CA を有効にする（general-purpose モードで CA ごとに約 $400/月）。
CloudFront 用の証明書は us-east-1、ALB 用は ALB と同じリージョンに置きます。SSL 処理でサーバーが過負荷なら、ACM 証明書を使う ALB に復号をオフロードします。ACM のパブリック証明書は EC2 に直接インストールできません。
本番の試験問題に挑戦
1A company has a dynamic web application hosted on two Amazon EC2 instances. The company has its own SSL certificate, which is on each instance to perform SSL termination. There has been an increase in traffic recently, and the operations team determined that SSL encryption and decryption is causing the compute capacity of the web servers to reach their maximum limit. What should a solutions architect do to increase the application's performance?
- ACreate a new SSL certificate using AWS Certificate Manager (ACM). Install the ACM certificate on each instance.
- BCreate an Amazon S3 bucket. Migrate the SSL certificate to the S3 bucket. Configure the EC2 instances to reference the bucket for SSL termination.
- CCreate another EC2 instance as a proxy server. Migrate the SSL certificate to the new instance and configure it to direct connections to the existing EC2 instances.
- DImport the SSL certificate into AWS Certificate Manager (ACM). Create an Application Load Balancer with an HTTPS listener that uses the SSL certificate from ACM.
答えを見る
正解: D
証明書を ACM にインポートし、HTTPS リスナーを持つ Application Load Balancer を前段に置きます。暗号化と復号は ALB が行うので、EC2 インスタンスの CPU に余裕ができます。ACM の証明書は EC2 にインストールできません。
2A company wants to configure its Amazon CloudFront distribution to use SSL/TLS certificates. The company does not want to use the default domain name for the distribution. Instead, the company wants to use a different domain name for the distribution. Which solution will deploy the certificate without incurring any additional costs?
- ARequest an Amazon issued private certificate from AWS Certificate Manager (ACM) in the us-east-1 Region.
- BRequest an Amazon issued private certificate from AWS Certificate Manager (ACM) in the us-west-1 Region.
- CRequest an Amazon issued public certificate from AWS Certificate Manager (ACM) in the us-east-1 Region.
- DRequest an Amazon issued public certificate from AWS Certificate Manager (ACM) in the us-west-1 Region.
答えを見る
正解: C
ACM のパブリック証明書は無料で、CloudFront は us-east-1 リージョンの証明書しか読み込みません。プライベート証明書（Private CA）は有料です。
よくある質問
ACM の SSL/TLS 証明書は無料ですか？
ALB、CloudFront、API Gateway などの統合サービスで使うパブリック証明書は無料で、自動更新されます。他の場所にインストールするためのエクスポート可能なパブリック証明書は有料で、AWS Private CA によるプライベート証明書も有料です。
CloudFront 用の証明書はなぜ us-east-1 で作成する必要があるのですか？
CloudFront はグローバルサービスで、米国東部（バージニア北部）リージョンの ACM 証明書しか読み込みません。ALB や API Gateway などのリージョン単位のリソースでは、証明書をそのリソースと同じリージョンに置く必要があります。
ドメインの検証は DNS とメールのどちらがよいですか？
DNS 検証がおすすめです。CNAME レコードを 1 つ追加すれば（Route 53 ならワンクリック）、以降は操作なしで ACM が自動更新します。メール検証では更新のたびに承認が必要です。
AWS 認定試験では ACM について何が問われますか？
HTTPS を有効にするための ALB や CloudFront への証明書の設定、CloudFront 用は us-east-1 という条件、DNS 検証による自動更新、エクスポート可能な証明書以外は EC2 に直接インストールできないことなどです。