証明書とPKIの管理 ACMとプライベート認証局の使い分け

SCS-C02では、通信の暗号化に使う証明書を「どこで発行し、どう自動更新し、誰に配るか」が問われます。パブリック証明書とプライベート証明書の役割を混同すると失点しやすい領域です。この記事では、要件から発行方式を選べるようになることを目標にします。

覚え方は「誰が信頼するか・どこで終端するか・どう更新するか」の3つの観点です。インターネット上の不特定多数が相手ならパブリック証明書、社内やデバイス限定ならプライベート認証局、という切り分けが土台になります。

AWS Certificate Manager（ACM）のパブリック証明書

ACMが無料で発行するパブリック証明書は、CloudFront・ALB・API Gateway・NLBといったAWSの統合サービスで終端する場合に限って使えます。DNS検証でRoute 53にCNAMEを1つ置いておけば以後の更新は完全に自動で、有効期限切れによる障害を根本から防げます。「公開Webサイトの証明書更新を運用から外したい」という要件ならまずこれです。

重要な制約として、ACMのパブリック証明書は秘密鍵をエクスポートできません。EC2上のNginxやオンプレミスの機器に直接インストールしたい場合には使えない点が頻出の引っかけです。

AWS Private CA（プライベート認証局）

社内APIの相互TLS認証、IoTデバイスのクライアント証明書、Kubernetes内部通信など、組織内でのみ信頼されればよい証明書はAWS Private CAで発行します。ルートCAと下位CAの階層を自分で設計でき、失効リスト（CRL）やOCSPによる失効管理も行えます。数万台のデバイスに個別証明書を配る、といったケースの定番です。

チェックリスト

• ACMパブリック証明書が使える統合サービスを挙げられる
• ACM証明書の秘密鍵がエクスポートできない制約を説明できる
• DNS検証とEメール検証の違い、自動更新の条件を理解している
• AWS Private CAを選ぶべき要件を具体例で説明できる
• インポート証明書の有効期限監視の実装方法を説明できる

まとめ

証明書は「誰が信頼するか」で発行元が決まり、「どこで終端するか」で鍵の扱いが決まります。仕上げに クイズ で知識を定着させ、出題範囲の最新版は AWS認定 公式ページ で必ず確認してください。