AWS Certificate Manager
Chứng chỉ HTTPS miễn phí
Cấp và tự gia hạn chứng chỉ SSL/TLS cho CloudFront, ALB, API Gateway.
- Chi phí$ Rẻ
- Độ khó●●●●●
- Để không có tốn tiền?Không
- AWS quản lý
- Có trong đềCLF · SAA · SOA
Hình dungNhư cơ quan cấp giấy chứng nhận chính chủ cho website, tự gia hạn khi hết hạn.
ACM đứng ở đâu trong hệ thống?
ACMACM gọi tới
Một ví dụ thật, từng bước
- Website shop.vn đang chạy HTTP và trình duyệt báo “Không an toàn”.
- Bạn yêu cầu chứng chỉ public cho shop.vn trong ACM, chọn xác thực bằng DNS.
- ACM đưa một bản ghi CNAME; bạn bấm thêm vào Route 53 và chứng chỉ được cấp sau vài phút, miễn phí.
- Bạn gắn chứng chỉ vào Application Load Balancer (hoặc CloudFront, khi đó phải tạo ở us-east-1).
- Mỗi năm ACM tự gia hạn chứng chỉ mà bạn không phải làm gì, nên không còn cảnh quên gia hạn làm web sập.
Khi nào nên dùng
✓ Nên dùng khi
Bật HTTPS cho tên miền trên AWS.
✗ Không nên dùng khi
Cần CA nội bộ cho máy chủ riêng → Private CA.
Ví dụ hay gặp
- HTTPS cho CloudFront, ALB, API Gateway
- Chứng chỉ tự gia hạn, không lo hết hạn
- Chứng chỉ wildcard *.example.com
ACM, KMS hay CloudFront?
| ACM |  KMS |  CloudFront | |
|---|---|---|---|
| Quản lý gì | Chứng chỉ SSL/TLS | Khoá mã hoá dữ liệu | Không quản lý, chỉ dùng chứng chỉ |
| Mã hoá | Dữ liệu đang truyền (HTTPS) | Dữ liệu lưu trữ | Dùng chứng chỉ ACM để bật HTTPS |
| Gia hạn/xoay | Tự gia hạn (xác thực DNS) | Xoay khoá tự động | Không áp dụng |
| Phí | Chứng chỉ public miễn phí | Theo khoá + số lần gọi | Theo dữ liệu truyền |
Tốn bao nhiêu tiền?
- Cách tính: Chứng chỉ public gắn vào dịch vụ AWS tích hợp: miễn phí. Chứng chỉ xuất ra ngoài (exportable) và Private CA: tính phí.
- Miễn phí: Miễn phí cho chứng chỉ public gắn vào dịch vụ AWS.
Bật nhầm Private CA (~$400/tháng mỗi CA ở chế độ general-purpose).
Chứng chỉ cho CloudFront phải nằm ở us-east-1; cho ALB thì cùng region với ALB. Máy chủ quá tải vì mã hoá SSL → chuyển việc giải mã sang ALB dùng chứng chỉ ACM. Chứng chỉ ACM public không cài thẳng lên EC2 được.
Thử sức với câu hỏi thi thật
1A company has a dynamic web application hosted on two Amazon EC2 instances. The company has its own SSL certificate, which is on each instance to perform SSL termination. There has been an increase in traffic recently, and the operations team determined that SSL encryption and decryption is causing the compute capacity of the web servers to reach their maximum limit. What should a solutions architect do to increase the application's performance?
- ACreate a new SSL certificate using AWS Certificate Manager (ACM). Install the ACM certificate on each instance.
- BCreate an Amazon S3 bucket. Migrate the SSL certificate to the S3 bucket. Configure the EC2 instances to reference the bucket for SSL termination.
- CCreate another EC2 instance as a proxy server. Migrate the SSL certificate to the new instance and configure it to direct connections to the existing EC2 instances.
- DImport the SSL certificate into AWS Certificate Manager (ACM). Create an Application Load Balancer with an HTTPS listener that uses the SSL certificate from ACM.
Xem đáp án
Đáp án đúng: D
Đưa chứng chỉ vào ACM và đặt Application Load Balancer có HTTPS listener phía trước: ALB lo phần mã hoá và giải mã, máy EC2 được giải phóng CPU. Không cài được chứng chỉ ACM lên EC2.
2A company wants to configure its Amazon CloudFront distribution to use SSL/TLS certificates. The company does not want to use the default domain name for the distribution. Instead, the company wants to use a different domain name for the distribution. Which solution will deploy the certificate without incurring any additional costs?
- ARequest an Amazon issued private certificate from AWS Certificate Manager (ACM) in the us-east-1 Region.
- BRequest an Amazon issued private certificate from AWS Certificate Manager (ACM) in the us-west-1 Region.
- CRequest an Amazon issued public certificate from AWS Certificate Manager (ACM) in the us-east-1 Region.
- DRequest an Amazon issued public certificate from AWS Certificate Manager (ACM) in the us-west-1 Region.
Xem đáp án
Đáp án đúng: C
Chứng chỉ public của ACM miễn phí, và CloudFront chỉ đọc chứng chỉ ở region us-east-1. Chứng chỉ private (Private CA) thì tính phí.
Câu hỏi thường gặp
Chứng chỉ SSL/TLS của ACM có miễn phí không?
Chứng chỉ public dùng với các dịch vụ tích hợp như ALB, CloudFront hay API Gateway được cấp miễn phí và tự gia hạn. Chứng chỉ public có thể xuất ra để cài ở nơi khác thì tính phí; chứng chỉ private qua AWS Private CA cũng tính phí.
Vì sao chứng chỉ cho CloudFront phải tạo ở us-east-1?
CloudFront là dịch vụ toàn cầu và chỉ đọc chứng chỉ ACM ở region US East (N. Virginia). Với ALB hay API Gateway theo region, chứng chỉ phải nằm cùng region với tài nguyên đó.
Xác thực tên miền bằng DNS hay email tốt hơn?
Nên dùng DNS: thêm một bản ghi CNAME (Route 53 làm được bằng một cú bấm), sau đó ACM tự gia hạn mà không cần thao tác. Xác thực qua email phải bấm xác nhận lại mỗi lần gia hạn.
Đề thi AWS hay hỏi gì về ACM?
Gắn chứng chỉ vào ALB hoặc CloudFront để bật HTTPS, quy định region us-east-1 cho CloudFront, tự gia hạn khi xác thực bằng DNS, và chứng chỉ ACM không cài trực tiếp lên EC2 được trừ loại có thể xuất.