クロスアカウントPCA共有を有効にする

プライベート CA (PCA) のクロスアカウント共有では、集中型 CA を使用するアクセス許可を他のアカウントに付与できます。CA は、AWSResource Access Manager (RAM) を使用してアクセス許可を管理することで、証明書を生成および発行できます。これにより、アカウントごとのプライベート CA は不要になります。プライベート CA クロスアカウント共有は、同じ 内の AppStream 2.0 証明書ベースの認証 (CBA) で使用できます AWS リージョン。

共有 Private CA リソースを AppStream 2.0 で使用するにはCBA、次の手順を実行します。

1. 一元化された CBAで のプライベート CA を設定します AWS アカウント。詳細については、「証明書ベースの認証」を参照してください。

2. プライベート CA を、 AppStream 2.0 リソース AWS アカウント が を利用するリソースと共有しますCBA。これを行うには、「 AWSRAMを使用して ACM Private CA クロスアカウントを共有する方法」の手順に従います。ステップ 3 の証明書を作成する手順は実行する必要はありません。Private CA は、個人と共有することも AWS アカウント、 を通じて共有することもできます AWS Organizations。個々のアカウントと共有する場合は、 AWS Resource Access Manager コンソールまたは を使用して、リソースアカウントで共有プライベート CA を受け入れる必要がありますAPIs。

   共有を設定するときは、 AWS Resource Access Manager リソースアカウントのプライベート CA のリソース共有が AWSRAMBlankEndEntityCertificateAPICSRPassthroughIssuanceCertificateAuthorityマネージドアクセス許可テンプレートを使用していることを確認します。このテンプレートは、CBA証明書の発行時に AppStream 2.0 サービスロールで使用されるPCAテンプレートと一致します。

3. 共有が成功したら、リソースアカウントのプライベート CA コンソールを使用して、共有プライベート CA を表示します。

4. API または CLIを使用して、プライベート CA を AppStream 2.0 Directory Config CBAの ARNに関連付けます。現時点では、 AppStream 2.0 コンソールは共有プライベート CA の選択をサポートしていませんARNs。コマンドの例を次に示しますCLI。

   aws appstream update-directory-config --directory-name <value> --certificate-based-auth-properties Status=<value>,CertificateAuthorityArn=<value>