FAQ sur AWS Certificate Manager

ACM gère des certificats publics, privés et importés. Pour en savoir plus sur les fonctionnalités d'ACM, consultez la documentation sur l'émission et la gestion des certificats .

Oui. Chaque certificat doit inclure au moins un nom de domaine. Vous pouvez y ajouter d'autres noms si vous le souhaitez. Par exemple, vous pouvez ajouter le nom « www.exemple.net » à un certificat pour « www.example.com » si les utilisateurs peuvent accéder à votre site avec ces deux noms. Vous devez détenir ou contrôler tous les noms inclus dans votre demande de certificat. 

Un nom de domaine contenant des caractères génériques correspond à un sous-domaine de premier niveau ou à un nom d'hôte au sein d'un domaine. Un sous-domaine de premier niveau est une étiquette de nom de domaine unique qui ne contient pas de point. Par exemple, vous pouvez utiliser le nom *.example.com pour protéger www.example.com, images.example.com et tout autre nom d'hôte ou sous-domaine de premier niveau qui se termine par .example.com. Pour en savoir plus, consultez le Guide de l’utilisateur ACM.

Oui.

Non.

Non.

Non.

Les certificats émis par ACM sont valides pendant 13 mois (395 jours). Si vous émettez des certificats privés directement depuis une CA privée et gérez les clés et les certificats sans utiliser ACM pour la gestion des certificats, vous pouvez choisir n'importe quelle période de validité, qu'il s'agisse d'une date d'expiration absolue ou d'une période relative exprimée en jours, en mois ou en années commençant directement.

Par défaut, les certificats émis dans ACM utilisent des clés RSA avec un module de 2048 bits et SHA-256. En outre, vous pouvez demander des certificats ECDSA (Elliptic Curve Digital Signature Algorithm) avec P-256 ou P-384. Pour en savoir plus sur les algorithmes, consultez le Guide de l’utilisateur ACM.

Vous pouvez demander à ACM de révoquer un certificat public en vous rendant sur le Centre AWS Support et en créant un cas. Pour révoquer un certificat privé émis par votre AWS Private CA consultez le Guide de l'utilisateur de AWS Private CA.

Non. Les certificats ACM doivent se trouver dans la même région que la ressource où ils sont utilisés. La seule exception est Amazon CloudFront, un service mondial qui nécessite des certificats dans la région USA Est (Virginie du Nord). Les certificats ACM de cette région qui sont associés à une distribution CloudFront sont répartis entre les emplacements géographiques configurés pour cette distribution.

Oui.

Vous pouvez utiliser des certificats privés émis avec la CA privée avec des instances EC2, des conteneurs, ainsi que vos propres serveurs. Pour l'heure, les certificats ACM publics ne peuvent être utilisés qu'avec des services AWS spécifiques, notamment AWS Nitro Enclaves. Voir les services d’intégration ACM.

ACM n'autorise pas les caractères linguistiques locaux codés en Unicode ; cependant, le service autorise les caractères linguistiques locaux codés en ASCII pour les noms de domaine.

ACM autorise uniquement le format ASCII codé en UTF-8, y compris les étiquettes contenant « xn– », communément appelé « Punycode », pour les noms de domaine. ACM n'accepte pas d'entrée Unicode (étiquettes U) pour les noms de domaine.

Oui. Si vous souhaitez utiliser un certificat tiers avec Amazon CloudFront, Elastic Load Balancing ou Amazon API Gateway, vous pouvez l'importer dans ACM à l'aide d'AWS Management Console, de l'interface de ligne de commande AWS ou des API AWS Certificate Manager. ACM ne gère pas le processus de renouvellement des certificats importés. Vous pouvez utiliser AWS Management Console pour surveiller les dates d'expiration des certificats importés et importer un nouveau certificat tiers pour remplacer un certificat arrivant à expiration.

Les certificats tant publics que privés aident les clients à identifier les ressources sur les réseaux et à sécuriser les communications entre ces ressources. Les certificats publics permettent d'identifier des ressources sur Internet.

ACM fournit des certificats publics de validation de domaine (DV) à utiliser avec les sites Web et les applications qui arrêtent le protocole SSL/TLS. Pour plus de détails à propos des certificats ACM, consultez Caractéristiques d’un certificat.

La plupart des navigateurs, des systèmes d'exploitation et des appareils mobiles modernes font confiance aux certificats publics ACM. Les certificats fournis par ACM présentent une omniprésence de 99 % pour les navigateurs et les systèmes d'exploitation, notamment Windows XP SP3 et Java 6 et versions ultérieures.

Les navigateurs qui font confiance aux certificats ACM affichent une icône de verrouillage et n'émettent aucun avertissement concernant les certificats lorsqu'ils sont connectés à des sites qui utilisent des certificats fournis par ACM sur SSL/TLS, par exemple à l'aide du protocole HTTPS.

Les certificats ACM publics sont vérifiés par l'autorité de certification Amazon (CA). Tous les navigateurs, applications ou systèmes d'exploitation qui incluent l'autorité de certification Amazon Root CA 1, Amazon Root CA 2, Amazon Root CA 3,Amazon Root CA 4, Starfield Services Root - G2 fait confiance aux certificats ACM. Pour plus d’informations sur les autorités de certification root, consultez le référentiel Amazon Trust Services.

Non.

Ces politiques et pratiques sont décrites dans les politiques de certification et la déclaration des pratiques de certification d'Amazon Trust Services. Reportez-vous au référentiel d’Amazon Trust Services pour consulter les dernières versions.

Non. Si vous voulez que votre site soit référencé par les deux noms de domaine (www.example.com et example.com), vous devez demander un certificat qui inclut les deux noms.

ACM vous aide à respecter les exigences réglementaires en facilitant l'établissement de connexions sécurisées, une exigence commune à de nombreux programmes de conformité tels que PCI, FedRAMP et HIPAA. Pour obtenir des informations spécifiques sur la conformité, rendez-vous sur http://aws.amazon.com/compliance.

Non, le service ACM n'est soumis à aucun accord de niveau de service.

Non. Si vous souhaitez utiliser un sceau sur votre site, vous pouvez en obtenir un auprès d'un fournisseur tiers. Nous vous recommandons de choisir un fournisseur qui évalue et certifie la sécurité de votre site, ou vos pratiques commerciales, ou bien les deux.

Non. Les sceaux et les badges de ce type peuvent être copiés sur des sites qui ne font pas appel au service ACM et utilisés de façon inappropriée pour instaurer la confiance sous de faux prétextes. Pour protéger nos clients et la réputation d'Amazon, nous n'autorisons l'utilisation de notre logo de cette manière.

Vous pouvez utiliser AWS Management Console, la CLI AWS ou les API/SDK ACM. Pour utiliser AWS Management Console, accédez à Certificate Manager, choisissez Request a Certificate, sélectionnez Request a public certificate, indiquez le nom de domaine de votre site et suivez les instructions à l'écran pour terminer votre demande. Vous pouvez ajouter des noms de domaine supplémentaires à votre demande si les utilisateurs peuvent accéder à votre site en utilisant d'autres noms. Avant d'émettre un certificat, ACM vérifie que vous détenez ou contrôlez les noms de domaine inclus dans votre demande de certificat. Lors de la demande de certificat, vous avez le choix entre deux méthodes : la validation DNS et la validation par e-mail. Avec la validation DNS, vous écrivez un enregistrement dans la configuration DNS publique de votre domaine pour établir que vous détenez ou contrôlez le domaine. Après avoir utilisé la validation DNS pour établir le contrôle de votre domaine, vous pouvez obtenir des certificats supplémentaires et demander à ACM de renouveler des certificats existants pour le domaine tant que l'enregistrement reste en place et que le certificat est en cours d'utilisation. Vous n'avez pas à valider à nouveau le contrôle du domaine. Si vous optez pour la validation par e-mail plutôt que pour la validation DNS, des e-mails sont envoyés au propriétaire de domaine pour lui demander d'approuver l'émission du certificat. Après la validation de chaque nom de domaine de votre demande, le certificat est émis et prêt à être mis en service avec d'autres services AWS comme Elastic Load Balancing ou Amazon CloudFront. Pour plus d’informations, consultez la documentation ACM.

Les certificats sont utilisés pour établir l'identité de votre site et des connexions sécurisées entre les navigateurs et les applications et votre site. Pour émettre un certificat approuvé publiquement, Amazon doit vérifier que le demandeur contrôle le nom de domaine inclus dans la demande de certificat.

Avant d'émettre un certificat, ACM vérifie que vous détenez ou contrôlez les noms de domaine inclus dans votre demande de certificat. Lors de la demande de certificat, vous avez le choix entre deux méthodes : la validation DNS et la validation par e-mail. Avec la validation DNS, vous pouvez valider la propriété du domaine en ajoutant un enregistrement CNAME à votre configuration DNS. Pour plus d’informations, consultez la section Validation DNS. Si vous ne pouvez pas écrire d'enregistrements dans la configuration DNS publique de votre domaine, vous pouvez utiliser la validation par e-mail au lieu de la validation DNS. Avec la validation par e-mail, ACM envoie des e-mails au propriétaire de domaine enregistré. Ce dernier ou un représentant autorisé peut alors approuver l'émission pour chaque nom de domaine inclus dans la demande de certificat. Pour plus d’informations, consultez la section Validation par e-mail.

Nous vous recommandons d'utiliser la validation DNS si vous pouvez modifier la configuration DNS de votre domaine. Les clients qui ne peuvent pas recevoir d'e-mails de validation d'ACM et ceux qui utilisent un serveur d'inscription qui ne publie pas l'adresse e-mail du propriétaire de domaine dans WHOIS doivent utiliser la validation DNS. Si vous ne pouvez pas modifier votre configuration DNS, vous devez utiliser la validation par e-mail.

Non, mais vous pouvez demander un nouveau certificat gratuit à ACM et choisir la validation DNS pour ce dernier.

L'émission d'un certificat, après la validation de tous les noms de domaine d'une demande de certificat, peut prendre plusieurs heures voire plus.

ACM tente de valider la propriété ou le contrôle de chaque nom de domaine inclus dans votre demande de certificat, selon la méthode de validation que vous avez choisie (validation DNS ou validation par e-mail). L'état de la demande de certificat est Pending validation lorsqu'ACM cherche à vérifier que vous détenez ou contrôlez le domaine. Consultez les sections Validation DNS et Validation par e-mail ci-dessous pour obtenir plus d’informations sur le processus de validation. Une fois tous les noms de domaine de la demande de certificat validés, l'émission des certificats peut prendre plusieurs heures ou plus. Lors de l'émission du certificat, l'état de la demande de certificat devient alors Issued et vous pouvez commencer à utiliser le certificat avec d'autres services AWS intégrés à ACM.

Oui. Les archives de l'autorisation de l'autorité de certification (CAA) DNS permettent aux propriétaires de domaine d'indiquer quelles autorités de certification sont autorisées à émettre des certificats pour leur domaine. Lorsque vous demandez un certificat ACM, AWS Certificate Manager recherche une archive CAA dans la configuration de zone DNS pour votre domaine. Si aucune archive CAA n'est présente, Amazon peut alors émettre un certificat pour votre domaine. Beaucoup de clients se retrouvent dans cette catégorie.

Si votre configuration DNS contient une archive CAA, cette dernière doit spécifier l'un des CA suivants avant qu'Amazon puisse émettre un certificat pour votre domaine : amazon.com, amazontrust.com, awstrust.com ou amazonaws.com. Pour en savoir plus, consultez les sections Configuration d’un enregistrement CAA ou Résoudre des problèmes liés à la CAA du Guide de l’utilisateur AWS Certificate Manager.

Pas à l'heure actuelle.

Avec la validation DNS, vous pouvez valider la propriété d'un domaine en ajoutant un enregistrement CNAME à votre configuration DNS. La validation DNS vous permet facilement d'établir que vous détenez un domaine lorsque vous demandez des certificats publics SSL/TLS à ACM.

La validation DNS vous permet de valider facilement que vous détenez ou contrôlez un domaine de manière à obtenir un certificat SSL/TLS. Avec la validation DNS, il vous suffit d'écrire un enregistrement CNAME dans votre configuration DNS pour établir le contrôle de votre nom de domaine. Pour simplifier le processus de validation DNS, la console de gestion ACM peut configurer des enregistrements DNS pour vous si vous gérez vos enregistrements DNS avec Amazon Route 53. Vous pouvez ainsi facilement établir le contrôle de votre nom de domaine en quelques clics. Une fois l'enregistrement CNAME configuré, ACM renouvelle automatiquement les certificats utilisés (associés à d'autres ressources AWS) tant que l'enregistrement de la validation DNS reste en place. Les renouvellements sont entièrement automatiques.

Toute personne demandant un certificat à ACM et en mesure de modifier la configuration DNS du domaine demandé doit envisager d'utiliser la validation DNS.

Oui. ACM continue de prendre en charge la validation par e-mail pour les clients qui ne sont pas en mesure de modifier leur configuration DNS.

Vous devez ajouter un enregistrement CNAME pour le domaine que vous souhaitez valider. Par exemple, pour valider le nom www.example.com, vous ajoutez un enregistrement CNAME à la zone correspondant à example.com. L'enregistrement que vous ajoutez contient un jeton unique qu'ACM génère spécifiquement pour votre domaine et pour votre compte AWS. Vous pouvez obtenir les deux parties de l'enregistrement CNAME (le nom et l'étiquette) auprès d'ACM. Pour plus d’instructions, consultez le Guide de l’utilisateur d’ACM.

Pour en savoir plus sur l'ajout ou la modification d'enregistrements DNS, consultez votre fournisseur DNS. La documentation du service DNS Amazon Route 53 fournit de plus amples informations pour les clients qui utilisent le service DNS Amazon Route 53.

Oui. Pour les clients qui utilisent le service DNS Amazon Route 53 pour gérer les enregistrements DNS, la console ACM peut permettre d’ajouter des enregistrements à votre configuration DNS pour vous lorsque vous demandez un certificat. La zone hébergée DNS Route 53 de votre domaine doit être configurée sur le même compte AWS que celui depuis lequel vous effectuez la demande, et vous devez disposer des autorisations suffisantes pour modifier votre configuration Amazon Route 53. Pour plus d'instructions, consultez le Guide de l'utilisateur d'ACM.

Non. Vous pouvez utiliser la validation DNS avec n'importe quel fournisseur DNS tant qu'il vous permet d'ajouter un enregistrement CNAME à votre configuration DNS.

Un seul. Vous pouvez obtenir plusieurs certificats pour le même nom de domaine dans le même compte AWS en utilisant un seul enregistrement CNAME. Par exemple, si vous effectuez deux demandes de certificat depuis le même compte AWS pour le même nom de domaine, vous n'avez besoin que d'un seul enregistrement DNS CNAME.

Non. Chaque nom de domaine doit posséder un enregistrement CNAME unique.

Oui.

Les enregistrements DNS CNAME se composent de deux éléments : un nom et une étiquette. Le nom d'un enregistrement CNAME généré par ACM comprend un caractère de soulignement (_) suivi d'un jeton (une chaîne de caractères unique liée à votre compte AWS et à votre nom de domaine). ACM ajoute le caractère de soulignement et le jeton à votre nom de domaine pour créer le nom. ACM crée l'étiquette à partir d'un caractère de soulignement ajouté à un autre jeton également lié à votre compte AWS et à votre nom de domaine. ACM ajoute le caractère de soulignement et le jeton à un nom de domaine DNS utilisé par AWS pour les validations : acm-validations.aws. Les exemples suivants montrent le format des enregistrements CNAME des domaines www.example.com, subdomain.example.com et *.example.com.

_TOKEN1.www.example.com         CNAME     _TOKEN2.acm-validations.aws
_TOKEN3.subdomain.example.com CNAME     _TOKEN4.acm-validations.aws
_TOKEN5.example.com                 CNAME      _TOKEN6.acm-validations.aws

Notez qu'ACM supprime l'étiquette générique (*) lors de la génération des enregistrements CNAME pour les noms contenant des caractères génériques. Ainsi, l'enregistrement CNAME généré par ACM pour un nom générique (comme *.example.com) est le même enregistrement que celui renvoyé pour le nom de domaine sans l'étiquette générique (example.com).

Non. Chaque nom de domaine, y compris les noms d'hôte et les noms de sous-domaine, doit être validé séparément à l'aide d'un enregistrement CNAME unique.

L'utilisation d'un enregistrement CNAME permet à ACM de renouveler les certificats tant que l'enregistrement CNAME existe. L'enregistrement CNAME pointe vers un enregistrement TXT inclus dans un domaine AWS (acm-validations.aws) qu'ACM peut mettre à jour si nécessaire pour valider ou revalider un nom de domaine, sans qu'aucune action de votre part ne soit nécessaire.

Oui. Vous pouvez créer un enregistrement DNS CNAME et l'utiliser pour obtenir des certificats sur le même compte AWS dans toutes les régions AWS dans lesquelles ACM est disponible. Configurez l'enregistrement CNAME une seule fois pour obtenir des certificats émis et renouvelés depuis ACM pour ce nom sans créer un autre enregistrement.

Non. Vous ne pouvez utiliser qu'une seule méthode de validation pour chaque certificat.

ACM renouvelle automatiquement les certificats en cours d'utilisation (associés à d'autres ressources AWS) tant que l'enregistrement de la validation DNS reste en place.

Oui. Il suffit de supprimer l'enregistrement CNAME. ACM n'émet ou ne renouvelle pas de certificats pour votre domaine à l'aide de la validation DNS une fois que vous avez supprimé l'enregistrement CNAME et que la modification a été diffusée via le DNS. Le délai de propagation de la suppression de l'enregistrement dépend de votre fournisseur DNS.

ACM ne peut émettre ni renouveler de certificats pour votre domaine à l'aide de la validation DNS si vous supprimez l'enregistrement CNAME.

Avec la validation par e-mail, une demande d'approbation est envoyée au propriétaire de domaine enregistré pour chaque nom de domaine inclus dans la demande de certificat. Le propriétaire de domaine ou un représentant autorisé (approbateur) peut approuver la demande de certificat en suivant les instructions contenues dans l'e-mail. Les instructions demandent à l'approbateur d'accéder au site Web d'approbation en cliquant sur le lien contenu dans l'e-mail ou en le copiant dans un navigateur. L'approbateur vérifie les informations associées à la demande de certificat, telles que le nom de domaine, l'ID de certificat (ARN) et l'ID de compte AWS à l'origine de la demande, puis approuve la demande si les informations sont exactes.

Lorsque vous demandez un certificat à l'aide de la validation par e-mail, une recherche WHOIS est exécutée pour chaque nom de domaine de la demande de certificat afin de récupérer les coordonnées du domaine. Un e-mail est envoyé au titulaire du nom de domaine, au contact administratif et au contact technique indiqués pour le domaine. Un e-mail est également envoyé à cinq adresses électroniques spéciales, créées en ajoutant les préfixes admin@, administrator@, hostmaster@, webmaster@ et postmaster@ au nom de domaine demandé. Par exemple, si vous demandez un certificat pour serveur.example.com, un e-mail est envoyé au titulaire du nom de domaine, au contact technique et au contact administratif à l'aide des coordonnées renvoyées par une requête WHOIS pour le domaine example.com, plus [email protected], [email protected], [email protected], [email protected] et [email protected].

Les cinq adresses électroniques spéciales sont conçues différemment pour les noms de domaine commençant par « www » et les noms génériques commençant par un astérisque (*). ACM supprime le « www » ou l'astérisque en en-tête, et un e-mail est envoyé aux adresses administratives formées en ajoutant les préfixes admin@, administrator@, hostmaster@, postmaster@ et webmaster@ au reste du nom de domaine. Ainsi, si vous demandez un certificat pour www.example.com, un e-mail est envoyé aux contacts WHOIS, comme décrit précédemment, et à [email protected] au lieu de [email protected]. Les quatre adresses électroniques spéciales sont formées de la même manière.

Après avoir demandé un certificat, vous pouvez afficher la liste des adresses e-mail auxquelles un e-mail a été envoyé pour chaque domaine à l'aide de la console ACM, de la CLI AWS ou d'API.

Non, mais vous pouvez configurer le nom de domaine de base auquel vous souhaitez que l'e-mail de validation soit envoyé. Le nom de domaine de base doit être un superdomaine du nom de domaine de la demande de certificat. Par exemple, si vous souhaitez demander un certificat pour serveur.domaine.example.com, mais que vous souhaitez envoyer l'e-mail d'approbation à [email protected], vous pouvez le faire à l'aide de la CLI ou de l'API AWS. Pour plus d'informations, consultez le document de référence sur la CLI ACM et le document de référence sur l'API ACM.

Oui, cependant, l'envoi d'e-mails peut être retardé en raison du proxy. Les e-mails envoyés via un proxy peuvent se retrouver dans le dossier des courriers indésirables. Consultez le Guide de l'utilisateur d'ACM pour des suggestions de dépannage.

Non. Les procédures et politiques de validation de l'identité du propriétaire de domaine sont très strictes et déterminées par CA/Browser Forum, une organisation qui établit des normes pour des autorités de certification approuvées publiquement. Pour en savoir plus, consultez la dernière déclaration des pratiques de certification d'Amazon Trust Services dans le référentiel Amazon Trust Services.

Consultez le Guide de l'utilisateur d'ACM pour des suggestions de dépannage.

Une paire de clés est créée pour chaque certificat fourni par ACM. ACM est conçu pour protéger et gérer les clés privées utilisées avec les certificats SSL/TLS. Un chiffrement avancé et de bonnes pratiques de gestion des clés sont utilisés lors de la protection et du stockage des clés privées.

Non. La clé privée de chaque certificat ACM est stockée dans la région dans laquelle vous demandez le certificat. Par exemple, lorsque vous obtenez un nouveau certificat dans la région USA Est (Virginie du Nord), ACM stocke la clé privée dans cette même région. Les certificats ACM sont uniquement copiés dans plusieurs régions si le certificat est associé à une distribution CloudFront. Dans ce cas, CloudFront distribue le certificat ACM vers les emplacements géographiques configurés pour votre distribution.

La fonction gérée du renouvellement et du déploiement d'ACM gère le processus de renouvellement des certificats SSL/TLS fournis par ACM et le déploiement des certificats après leur renouvellement.

ACM peut gérer le renouvellement et le déploiement des certificats SSL/TLS à votre place. Grâce à ACM, la configuration et le maintien des certificats SSL/TLS d'un service Web sécurisé ou d'une application sont plus solides sur le plan opérationnel que les processus manuels qui peuvent être sources d'erreurs. La fonction de gestion du renouvellement et du déploiement peut vous aider à éviter les temps d'arrêts dus à l'expiration de certificats. En effet, ACM fonctionne comme un service intégré aux autres services AWS. Cela signifie que vous pouvez gérer et déployer de façon centralisée des certificats sur la plate-forme AWS à l'aide d'AWS management console, de la CLI AWS ou d'API. Avec la CA privée, vous pouvez créer des certificats privés et les exporter. ACM renouvelle les certificats exportés, ce qui permet à votre code d'automatisation côté client de les télécharger et de les déployer.

Certificats publics

Le service ACM peut renouveler et déployer les certificats ACM publics qu'il fournit sans qu'une autre validation ne soit nécessaire de la part du propriétaire de domaine. Si un certificat ne peut être renouvelé sans une validation supplémentaire, ACM gère le processus de renouvellement en validant la propriété ou le contrôle du domaine pour chaque nom de domaine du certificat. Une fois que chaque nom de domaine du certificat a été validé, ACM renouvelle le certificat et le déploie automatiquement avec vos ressources AWS. Si ACM ne peut pas valider la propriété du domaine, nous en informons le propriétaire du compte AWS.

Si vous avez choisi la validation DNS pour votre demande de certificat, ACM peut renouveler votre certificat indéfiniment, sans aucune action de votre part, tant que le certificat est en cours d'utilisation (associé à d'autres ressources AWS) et que votre enregistrement CNAME reste en place. Si vous avez sélectionné la validation par e-mail lors de votre demande de certificat, vous pouvez améliorer la capacité de renouvellement et de déploiement automatiques des certificats du service ACM en vous assurant que le certificat est en cours d'utilisation, que tous les noms de domaine qu'il contient peuvent être résolus sur votre site et qu'ils sont accessibles via Internet.

Certificats privés

ACM fournit deux options pour gérer les certificats privés émis avec AWS Private CA. ACM fournit différentes capacités de renouvellement et de déploiement en fonction de la façon dont vous gérez vos certificats privés. Vous pouvez choisir la meilleure option de gestion pour chaque certificat privé que vous émettez.

1) ACM peut automatiser entièrement le renouvellement et le déploiement de certificats privés émis avec AWS Private CA et utilisés avec des services intégrés à ACM, comme Elastic Load Balancing et API Gateway. ACM peut renouveler et déployer des certificats privés créés et gérés dans ACM tant que la Private CA qui a émis le certificat conserve un statut actif.

2) Pour pouvoir utiliser les certificats privés que vous exportez depuis ACM avec des ressources sur site, des instances EC2 et des appareils IoT, ACM renouvelle votre certificat automatiquement. Vous êtes responsable de la récupération du nouveau certificat et de la nouvelle clé privée et de les déployer avec votre application.

Le processus de renouvellement commence au plus tôt 60 jours avant la date d'expiration du certificat. La période de validité des certificats ACM est actuellement de 13 mois (395 jours). Consultez le guide de l’utilisateur ACM pour en savoir plus sur le renouvellement géré.

Non. ACM peut renouveler ou recomposer le certificat et remplacer l'ancien par un nouveau sans préavis.

Si vous avez choisi la validation DNS pour votre demande de certificat public, ACM peut renouveler votre certificat sans aucune action de votre part, tant que le certificat est en cours d'utilisation (associé à d'autres ressources AWS) et que votre enregistrement CNAME reste en place.

Si vous avez sélectionné la validation par e-mail lors de votre demande de certificat public contenant un domaine nu, assurez-vous que la recherche DNS du domaine nu est résolue vers la ressource AWS associée au certificat. La résolution du domaine nu vers une ressource AWS peut être difficile, à moins que vous n'utilisiez Route 53 ou un autre fournisseur DNS prenant en charge les enregistrements de ressources alias (ou leur équivalent) pour le mappage des domaines nus aux ressources AWS. Pour plus d'informations, consultez le guide du développeur Route 53.

Non, les connexions établies après le déploiement du nouveau certificat utilisent le nouveau certificat et les connexions existantes ne sont pas affectées

Oui.

Oui, mais vous pouvez également envisager d'utiliser AWS Private CA pour émettre des certificats privés qu'ACM peut renouveler sans validation. Consultez la section Fonction de gestion du renouvellement et du déploiement pour en savoir plus sur la manière dont ACM gère le renouvellement des certificats publics qui ne sont pas accessibles depuis l’Internet et des certificats privés.

Oui. A l'aide d'AWS CloudTrail, vous pouvez consulter des journaux qui vous indiquent quand la clé privée du certificat a été utilisée.

Vous pouvez identifier les utilisateurs et les comptes qui ont appelé les API AWS pour des services prenant en charge AWS CloudTrail, l'adresse IP source d'origine des appels, ainsi que le moment où les appels ont eu lieu. Par exemple, vous pouvez savoir quel utilisateur a appelé une API pour associer un certificat fourni par ACM à Elastic Load Balancer, et à quel moment le service Elastic Load Balancing a déchiffré la clé en appelant une API KMS.

Les certificats publics et privés mis en service via AWS Certificate Manager pour être utilisés avec des services intégrés ACM, comme les services Elastic Load Balancing, Amazon CloudFront et Amazon API Gateway sont gratuits. Vous payez pour les ressources AWS que vous créez pour exécuter votre application. AWS Private CA propose une tarification progressive ; consultez la page de tarification de AWS Private CA pour plus de détails et d’exemples.

Veuillez consulter les questions fréquentes sur AWS Private CA, pour toute question relative à l’utilisation d’AWS Private CA.