ACMによるACME発行をAWS PrivateLink経由でサポート開始

AWS Certificate Manager (ACM) は、ACMEv2互換クライアントを使用してパブリックTLS証明書の申請・更新を、AWS PrivateLinkを介したプライベートなネットワーク経路で実行できるようになりました。VPCインターフェースエンドポイントを作成することで、ACME発行トラフィックをAWSネットワーク内に閉じ込めることが可能です。既存のACMEクライアントの設定変更なしに、Private DNSを利用して既存のACMEディレクトリURLをVPC内のエンドポイントへ自動的に解決するため、シームレスな移行が可能です。

ネットワーク隔離を求める環境での強力な選択肢

【問題と解決策】 通常のACME証明書発行プロセスでは、クライアントがインターネット経由でパブリックACMEディレクトリエンドポイントと通信する必要があります。これは、厳格なセキュリティ要件やコンプライアンスにより、インターネットへの直接的なアウトバウンド通信を制限している環境では、証明書の発行・更新が困難になるという課題がありました。今回のアップデートにより、AWS PrivateLinkを利用することで、機密性の高い発行操作（アカウント作成、ドメイン検証、証明書取得など）をAWSネットワーク内に完全に保持することができ、セキュリティレベルを大幅に向上させることが可能です。

【日本リージョンの状況】 公式発表では「すべての商用AWSリージョンで利用可能」と記載されていますが、東京（ap-northeast-1）および大阪（ap-northeast-3）リージョンにおける具体的な提供状況については、現時点の一次情報および公式ドキュメントにおいて明記されていません。導入検討時には、最新のリージョン状況をAWS公式の裏取りを確認することをお勧めします。

【運用上のアドバイス】

• コスト管理: AWS PrivateLinkのインターフェースエンドポイントには、標準的なPrivateLink料金が適用されます。証明書管理のコストだけでなく、エンドポイントの維持コストも考慮に入れて設計してください。
• セキュリティと監査: すべての発行アクティビティはAWS CloudTrailおよびAmazon CloudWatchメトリクスで記録・監査可能です。監査ログの活用を推奨します。
• 移行の容易さ: Private DNSを利用するため、既存のACMEクライアントの設定変更は不要です。既存の構成をまま、ネットワーク経路のみをプライベート化することが可能です。

【次に行うべきアクション】 まずは、検証環境のVPC内にACM ACMEサービス用のインターフェースエンドポイントを作成し、Private DNSが既存のACMEディレクトリURLを解決する挙動を確認してください。

【参照元】 AWS Certificate Manager ドキュメント: https://://aws.amazon.com/certificate-manager/pricing/ AWS News Blog: https://aws.amazon.com/blogs/aws/automate-public-tls-certificate-issuance-with-acme-support-in-aws-certificate-manager/