Zugriff AWS Certificate Manager über einen Schnittstellenendpunkt ()AWS PrivateLink

Sie können AWS PrivateLink damit eine private Verbindung zwischen Ihrer VPC und AWS Certificate Manager herstellen. Sie können auf ACM zugreifen, als wäre es in Ihrer VPC, ohne ein Internet-Gateway, ein NAT-Gerät, eine VPN-Verbindung oder AWS Direct Connect eine Verbindung verwenden zu müssen. Instances in Ihrer VPC benötigen keine öffentlichen IP-Adressen, um auf ACM zuzugreifen.

Sie stellen diese private Verbindung her, indem Sie einen Schnittstellen-Endpunkt erstellen, der von AWS PrivateLink unterstützt wird. Wir erstellen eine Endpunkt-Netzwerkschnittstelle in jedem Subnetz, das Sie für den Schnittstellen-Endpunkt aktivieren. Dabei handelt es sich um vom Anforderer verwaltete Netzwerkschnittstellen, die als Einstiegspunkt für den für ACM bestimmten Datenverkehr dienen.

Weitere Informationen finden Sie im Handbuch unter Access AWS-Services through AWS PrivateLink.AWS PrivateLink

Überlegungen zu ACM

Bevor Sie einen Schnittstellenendpunkt für ACM einrichten, lesen Sie die Überlegungen im AWS PrivateLink Handbuch.

Im Folgenden finden Sie Hinweise zur Verwendung AWS PrivateLink mit ACM.

• ACM unterstützt Aufrufe aller API-Aktionen über den Schnittstellenendpunkt.

• Öffentliche Zertifikate, die bei ACM angefordert werden, werden von Amazon Trust Services erworben und ausgestellt. Die Kommunikation zwischen ACM und Amazon Trust Services erfolgt über das öffentliche Internet, damit ACM diese Zertifikate erhält.

Erstellen Sie einen Schnittstellenendpunkt für ACM

Sie können einen Schnittstellenendpunkt für ACM entweder mit der Amazon VPC-Konsole oder mit AWS Command Line Interface ()AWS CLI erstellen. Weitere Informationen finden Sie unter Erstellen eines Schnittstellenendpunkts im AWS PrivateLink Handbuch und AWS Certificate Manager Endpunkte und Kontingente im. Allgemeine AWS-Referenz

Erstellen Sie einen Schnittstellenendpunkt für ACM mit dem folgenden Dienstnamen:

com.amazonaws.region.acm

Wenn Sie privates DNS für den Schnittstellenendpunkt aktivieren, können Sie API-Anfragen an ACM stellen, indem Sie den standardmäßigen regionalen DNS-Namen verwenden. Beispiel, acm.us-east-1.amazonaws.com.

Erstellen einer Endpunktrichtlinie für Ihren Schnittstellen-Endpunkt

Eine Endpunktrichtlinie ist eine IAM-Ressource, die Sie an einen Schnittstellen-Endpunkt anfügen können. Die standardmäßige Endpunktrichtlinie ermöglicht den vollen Zugriff auf ACM über den Schnittstellenendpunkt. Um den Zugriff auf ACM von Ihrer VPC aus zu kontrollieren, fügen Sie dem Schnittstellenendpunkt eine benutzerdefinierte Endpunktrichtlinie hinzu.

Eine Endpunktrichtlinie gibt die folgenden Informationen an:

• Die Prinzipale, die Aktionen ausführen können (AWS-Konten, IAM-Benutzer und IAM-Rollen).

• Aktionen, die ausgeführt werden können

• Die Ressourcen, auf denen die Aktionen ausgeführt werden können.

Weitere Informationen finden Sie unter Steuern des Zugriffs auf Services mit Endpunktrichtlinien im AWS PrivateLink -Leitfaden.

Beispiel: VPC-Endpunktrichtlinie für ACM-Aktionen

Im Folgenden finden Sie ein Beispiel für eine benutzerdefinierte Endpunktrichtlinie. Wenn Sie diese Richtlinie an Ihren Schnittstellenendpunkt anhängen, gewährt sie allen Prinzipalen auf allen Ressourcen Zugriff auf die aufgelisteten ACM-Aktionen.

JSON

{
   "Statement": [
      {
         "Principal": "*",
         "Effect": "Allow",
         "Action": [
            "acm:ListCertificates",
            "acm:DescribeCertificate",
         ],
         "Resource":"*"
      }
   ]
}