Puis-je épingler une application exécutée sur AWS à un certificat délivré par ACM ?

Brève description

Il n’est pas recommandé d’épingler votre application à un certificat SSL/TLS délivré par ACM. En épinglant un certificat, vous fournissez à un navigateur un identifiant pour la clé publique utilisée pour le site Web. Si un utilisateur visite le site Web, l’épingle est mise en cache par le navigateur. Cette épingle est également utilisée pour vérifier la clé publique lors des visites suivantes. Les informations relatives à l’épingle, ainsi que sa durée de vie, sont généralement incluses dans l’en-tête de la réponse HTTP. Si le certificat change, par exemple en cas de renouvellement, cette modification peut générer des erreurs chez les visiteurs du site Web. Ces erreurs se produisent parce qu’il est impossible d’établir une connexion sécurisée avec le site Web. Pour en savoir plus, consultez la page Épinglage de certificats.

Important : depuis le 11 octobre 2022 à 9 h 00 (heure du Pacifique), les certificats publics obtenus via ACM sont délivrés par l’une des autorités de certification intermédiaires gérées par Amazon. Plusieurs autorités de certification intermédiaires sont connectées à une autorité de certification racine Amazon Trust Services existante. En raison de ce changement, les certificats Leaf qui vous sont délivrés sont signés par différentes autorités de certification intermédiaires. Avant cela, Amazon employait un nombre limité d’autorités de certification intermédiaires et délivrait et renouvelait des certificats émanant des mêmes autorités de certification intermédiaires. Pour en savoir plus, consultez la page Amazon introduit des autorités de certification intermédiaires dynamiques.

Résolution

Il est recommandé d’épingler votre application à une autorité de certification (AC) racine plutôt qu’à un certificat individuel ou à un certificat d’autorité de certification intermédiaire. Lorsque vous épinglez une application à une autorité de certification Amazon Trust Services, épinglez la même application à toutes les autorités de certification du tableau Amazon Trust Services.

Remarque : dans la mesure où ACM ne précise pas l’origine du certificat lorsque vous en demandez un, vous devez sélectionner toutes les autorités de certification auxquelles vous épinglez votre application.

Pour épingler un certificat, utilisez l’une des options suivantes, afin de vous assurer que l’application peut se connecter au domaine.

Épinglez votre application à un certificat racine Amazon

Lorsque vous épinglez votre application au niveau du certificat racine, le renouvellement géré par ACM renouvelle le certificat sous la même autorité de certification que celle qui a délivré le certificat. Le certificat Amazon Resource Name (ARN) reste inchangé. Vous pouvez également épingler votre application à plusieurs autorités de certification en tant qu’épingles secondaires. Si le certificat expire, vous pouvez demander un nouveau certificat et l’appliquer à votre équilibreur de charge, afin de réduire les temps d’arrêt des applications.

Importez votre propre certificat dans ACM, puis épinglez votre application au certificat importé

Les certificats importés ne sont pas renouvelés par le processus de renouvellement géré par ACM. Vous devez gérer le renouvellement du certificat et des clés. Pour en savoir plus, consultez la page Importation de certificats dans AWS Certificate Manager.

Informations complémentaires

Meilleures pratiques ACM

Problèmes liés à l’épinglage de certificats