amazon-web-services - AWS ECS 为内部后端通信获取公共证书

Question

考虑以下场景： 一些在后端运行的容器，例如在 AWS Fargate 或 ECS 上，容器之间的通信以及与其他后端组件（例如 AWS API 网关）的通信应该是 TLS 加密的。由于并非所有组件都接受自签名证书（例如 AWS API 网关），因此应为容器使用公共证书。

就成本和有效期（一年或更长）而言，为此类内部后端通信用例获取公共证书的最佳方式是什么。

据我所知，AWS 颁发的证书不起作用，因为这些证书只能在负载均衡器或 API GW 上使用，而不能在 ECS/Fargate 上运行的容器中使用。

标签： amazon-web-servicessslcertificatecontainersamazon-ecs

Answer 1

您是正确的，公共 ACM SSL 只能附加到以下之一：

• CloudFront
• 应用程序负载均衡器
• 网络负载均衡器（带有 TLS 侦听器）
• API 网关

除了这些资源之外，您还有一些可用的选项：

• 使用certbot生成免费的 SSL，甚至还有官方的Docker 镜像。
• 为自己打包在 Docker 映像中的证书付费。
• 使用 ACM 的付费私有 CA 注册功能。