Exportação de um certificado privado

Você pode exportar um certificado emitido pela CA privada da AWS para uso em qualquer lugar em seu ambiente privado de PKI. O arquivo exportado contém o certificado, a cadeia de certificados e a chave privada criptografada. Esse arquivo deve ser armazenado com segurança. Para obter mais informações sobre CA privada da AWS, consulte o Guia AWS Private Certificate Authority do usuário.

nota

Você não pode exportar um certificado publicamente confiável ou sua chave privada, independentemente de ele ter sido emitido pelo ACM ou importado.

Exportação de um certificado privado (console)

1. Faça login no AWS Management Console e abra o console do ACM em https://console.aws.amazon.com/acm/home.

2. Escolha Certificate Manager

3. Selecione o link do certificado que deseja exportar.

4. Escolha Exportar.

5. Insira e confirme uma frase secreta para a chave privada.

   nota

   Ao criar sua senha, você pode usar qualquer caractere ASCII, exceto #, $ ou %.

6. Escolha Generate PEM Encoding (Gerar codificação PEM).

7. É possível copiar o certificado, a cadeia de certificados e a chave criptografada na memória ou escolher Export to a file (Exportar para um arquivo) para cada um deles.

8. Selecione Done (Concluído).

Exportar um certificado privado (CLI)

Use o comando export-certificate para exportar um certificado e uma chave privados. É necessário atribuir uma senha quando você executa o comando. Para maior segurança, use um editor de arquivos para armazenar sua senha em um arquivo e, depois, forneça a senha fornecendo o arquivo. Isso evita que a frase secreta seja armazenada no histórico de comandos e impede que outras pessoas a vejam enquanto você a digita.

nota

O arquivo que contém a senha não deve terminar em um terminador de linha. Você pode verificar seu arquivo de senha assim:

$ file -k passphrase.txt
passphrase.txt: ASCII text, with no line terminators

O exemplo a seguir redireciona a saída do comando para jq a fim de aplicar a formatação PEM.

[Linux]
$ aws acm export-certificate \
     --certificate-arn arn:aws:acm:Region:444455556666:certificate/certificate_ID \
     --passphrase fileb://path-to-passphrase-file  \
     | jq -r '"\(.Certificate)\(.CertificateChain)\(.PrivateKey)"'

[Windows]
$ aws acm export-certificate \
     --certificate-arn arn:aws:acm:Region:444455556666:certificate/certificate_ID \
     --passphrase fileb://path-to-passphrase-file  \
     | jq -r '\"(.Certificate)(.CertificateChain)(.PrivateKey)\"'

Isso gera um certificado no formato PEM e codificado em Base64, que também contém a cadeia de certificados e a chave privada criptografada, como no exemplo abreviado a seguir.

-----BEGIN CERTIFICATE-----
MIIDTDCCAjSgAwIBAgIRANWuFpqA16g3IwStE3vVpTwwDQYJKoZIhvcNAQELBQAw
EzERMA8GA1UECgwIdHJvbG9sb2wwHhcNMTkwNzE5MTYxNTU1WhcNMjAwODE5MTcx
NTU1WjAXMRUwEwYDVQQDDAx3d3cuc3B1ZHMuaW8wggEiMA0GCSqGSIb3DQEBAQUA
...
8UNFQvNoo1VtICL4cwWOdLOkxpwkkKWtcEkQuHE1v5Vn6HpbfFmxkdPEasoDhthH
FFWIf4/+VOlbDLgjU4HgtmV4IJDtqM9rGOZ42eFYmmc3eQO0GmigBBwwXp3j6hoi
74YM+igvtILnbYkPYhY9qz8h7lHUmannS8j6YxmtpPY=
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
MIIC8zCCAdugAwIBAgIRAM/jQ/6h2/MI1NYWX3dDaZswDQYJKoZIhvcNAQELBQAw
EzERMA8GA1UECgwIdHJvbG9sb2wwHhcNMTkwNjE5MTk0NTE2WhcNMjkwNjE5MjA0
NTE2WjATMREwDwYDVQQKDAh0cm9sb2xvbDCCASIwDQYJKoZIhvcNAQEBBQADggEP
...
j2PAOviqIXjwr08Zo/rTy/8m6LAsmm3LVVYKLyPdl+KB6M/+H93Z1/Bs8ERqqga/
6lfM6iw2JHtkW+q4WexvQSoqRXFhCZWbWPZTUpBS0d4/Y5q92S3iJLRa/JQ0d4U1
tWZyqJ2rj2RL+h7CE71XIAM//oHGcDDPaQBFD2DTisB/+ppGeDuB
-----END CERTIFICATE-----
-----BEGIN ENCRYPTED PRIVATE KEY-----
MIIFKzBVBgkqhkiG9w0BBQ0wSDAnBgkqhkiG9w0BBQwwGgQUMrZb7kZJ8nTZg7aB
1zmaQh4vwloCAggAMB0GCWCGSAFlAwQBKgQQDViroIHStQgNOjR6nTUnuwSCBNAN
JM4SG202YPUiddWeWmX/RKGg3lIdE+A0WLTPskNCdCAHqdhOSqBwt65qUTZe3gBt
...
ZGipF/DobHDMkpwiaRR5sz6nG4wcki0ryYjAQrdGsR6EVvUUXADkrnrrxuHTWjFl
wEuqyd8X/ApkQsYFX/nhepOEIGWf8Xu0nrjQo77/evhG0sHXborGzgCJwKuimPVy
Fs5kw5mvEoe5DAe3rSKsSUJ1tM4RagJj2WH+BC04SZWNH8kxfOC1E/GSLBCixv3v
+Lwq38CEJRQJLdpta8NcLKnFBwmmVs9OV/VXzNuHYg==
-----END ENCRYPTED PRIVATE KEY-----

Para gerar tudo em um arquivo, acrescente o redirecionador > ao exemplo anterior, resultando no seguinte.

$ aws acm export-certificate \
     --certificate-arn arn:aws:acm:Region:444455556666:certificate/certificate_ID \
     --passphrase fileb://path-to-passphrase-file \
     | jq -r '"\(.Certificate)\(.CertificateChain)\(.PrivateKey)"' \
     > /tmp/export.txt