Az AWS végre megoldotta a certifikátum-ügyintézés rémálmát

Kezdjük őszintén: mikor voltál utoljára úgy, hogy lelkesen álltál neki SSL tanúsítványokat megújítani? Ha hasonló vagy a legtöbb fejlesztőhöz, ez a feladat valahol a "kicsit idegesítő" és a "teljes katasztrófa" között helyezkedik el a napi stresszskálán.

Az AWS most bemutatott valamit, ami végre megváltoztathatja ezt az egyenletet.

Az ACME forradalom megérkezett az AWS-re

Az AWS Certificate Manager (ACM) mostantól támogatja az ACME (Automated Certificate Management Environment) protokollt publikus TLS tanúsítványokhoz. Ha már használtál Let's Encrypt-et vagy hasonló szolgáltatásokat, valószínűleg ismered az ACME-t – ez az a varázslat, ami automatizálja a tanúsítványok kibocsátását, és kiváltja a kézi CSR-generálást meg a bonyolult webes felületeket.

De itt jön a lényeg: az ACME támogatás az ACM-ben azt jelenti, hogy végre mindkét világból a legjobbat kaphatod. Megkapod az AWS központosított tanúsítványkezelését, IAM-alapú hozzáférés-vezérlését és domain-szűrését – mindezt kombinálva azzal a rugalmassággal, hogy bármilyen ACMEv2-kompatibilis klienset használhatsz, bármilyen workloadon, bárhol.

Miért fontos ez valójában

A tanúsítványok élettartama folyamatosan csökken. A böngészőgyártók és a biztonsági szabványügyi testületek egyre rövidebb érvényességi időszakokat szorgalmaznak – hónapokról beszélünk, nem évekről. Ami régen egy "beállítom és elfelejtem" feladat volt néhány évente, az most negyedévente visszatérő kötelezettséggé vált.

Kézzel kezelni ezt több szolgáltatás, több domain és több környezet között? Ez egyenes út a lejárt tanúsítványokhoz és a production leállásokhoz. Senki sem akarja megmagyarázni a vezetőségnek, hogy a weboldal azért ment le, mert valaki elfelejtett rákattintani egy gombra.

Az ACME támogatással az ACM-ben a következőket érheted el:

• Minden automatizálható – Tanúsítványok kibocsátása, telepítése és megújítása emberi beavatkozás nélkül
• A saját eszközeid használhatod – Certbot, Lego, acme.sh, vagy bármi más, ami ACMEv2-t beszél
• Központi átláthatóság – Minden tanúsítványod egy helyen van, AWS-szintű irányítási kontrolokkal
• Felhőtlen skálázás – Új domainekhez tartozó tanúsítványok hozzáadása a meglévő munkafolyamat megváltoztatása nélkül

Valós munkafolyamatok, amik egyszerűbb lettek

Képzeld el, hogy microservices architektúrát működtetsz, a szolgáltatások szétszórva EC2 instance-okon, konténerekben, és talán Lambda függvényeken. Korábban a TLS működésre juttatása azt jelentette, hogy különböző eszközöket kellett összerakni, és reménykedni, hogy semmi nem jár le csendben.

Most már rámutathatsz az ACME klienseddel az ACM-re, hagyni, hogy az AWS infrastruktúrája kezelje a kibocsátást, és telepítheted a tanúsítványokat, ahová csak szükséges. A challenge/response folyamat automatikusan zajlik, és a tanúsítványaid megújítják magukat, mielőtt egyáltalán gondolnod kellene rájuk.

Startupok és növekvő vállalkozások számára ez azt jelenti, hogy a DevOps csapat az eredményépítéssel töltheti az idejét, nem pedig a tanúsítványhoz köthető incidensek oltásával. Nagyobb vállalatoknak ott vannak az audit trail-ek és hozzáférés-kontrollok, amiket a compliance csapatok imádnak – mindezt megtartva az automatizálást, amire a mérnököknek szükségük van.

Hogyan kezdj neki

Ha már használod az AWS Certificate Manager-t, az ACME endpoint most elérhető – plusz költség nincs, csak a szokásos tanúsítványárak. Irányítsd az ACME kliensedet az AWS régiódra, állítsd be a DNS validációt (mert persze hogy DNS validációt használsz), és nézd, ahogy a varázslat megtörténik.

Akik skálán kezelik az infrastruktúrát: itt az ideje auditálni a jelenlegi tanúsítványkezelési beállításokat. Ha még mindig bármit is kézzel csinálsz, van egy jobb megoldás.

A tanúsítványkezelésnek nem kellene olyan dolognak lennie, ami éjszakákon át ébren tart. Az AWS jelentősen megkönnyítette az automatizálást – és őszintén szólva, így kellett volna lennie kezdettől fogva.

A lényeg

Az AWS Certificate Manager ACME támogatása nem csak egy feature-frissítés – ez egy elmozdulás abban, ahogy a tanúsítványkezelésre gondolunk felhő környezetben. A számozásig való rohangálás a lejárati határidők előtt kezd kimenni a divatból.

Az automatizálás a játék neve, és ez az AWS-lépés tökéletesen illeszkedik abba az irányba, amerre a tanúsítványkezelés tart. Függetlenül attól, hogy egy kicsi startupot vagy enterprise infrastruktúrát menedzselsz, az automatizált tanúsítvány-életciklus kezelés már nem opcionális – alapkövetelmény.

Ideje átölelni az automatizálást, és visszaszerezni azokat az órákat, amiket manuális tanúsítvány-bütyköléssel töltöttél.