¿Cómo comparto mi autoridad de certificación privada de ACM con otra cuenta de AWS?

Descripción corta

Puede usar AWS Resource Access Manager (AWS RAM) para compartir una ACM PCA y crear un recurso compartido con otra cuenta de AWS. También puede compartir una ACM PCA con otras entidades, como las siguientes:

• Otros principios, como los usuarios de AWS Identity and Access Management (IAM) y las funciones de IAM.
• Unidades organizativas (OU).
• Toda la organización de AWS de la que es miembro su cuenta.

Su recurso compartido de ACM PCA permite a los usuarios y funciones de otras cuentas emitir certificados x509 privados firmados por el PCA compartido.

Resolución

Cree un recurso compartido de RAM de AWS en la cuenta en la que reside su ACM PCA.

Ejemplo de caso de uso

Ya tiene una ACM PCA en la cuenta A y quiere compartirla con la cuenta B.

Nota: La RAM de AWS es un servicio regional y un recurso compartido es regional. Los recursos compartidos de ACM PCA con los directores de otras cuentas de AWS deben acceder a los recursos de la misma región de AWS en la que se crearon.

1. En la cuenta A, cree un recurso compartido en la RAM de AWS. Para obtener instrucciones, consulte las instrucciones de la consola en Crear un recurso compartido en la RAM de AWS.

   Nota: En el Paso 2: Asocie un permiso administrado a cada tipo de recurso y elija el permiso para el tipo de certificados que desea emitir. Por ejemplo:
   Para emitir certificados de entidad final con la plantilla de certificado predeterminada arn:aws:acm-pca:::template/EndEntityCertificate/V1: elija el permiso predeterminado AWSRAMDefaultPermissionCertificateAuthority.
   Para emitir un certificado subordinado (PathLen0) con la plantilla de certificado arn:aws:acm-pca:::template/SubordinateCACertificate_PathLen0/V1: elija AWSRAMSubordinateCACertificatePathLen0IssuanceCertificateAuthority.

2. Acepte el recurso compartido en su cuenta compartida (cuenta B, en este ejemplo). Si comparte con AWS Organizations (con el uso compartido de recursos dentro de AWS Organization activado), puede saltar al paso 6.

3. En la cuenta compartida (cuenta B, en este ejemplo), abra la consola de RAM de AWS en la misma región que en el paso 1.

4. En Compartido conmigo, seleccione Recursos compartidos. Aparece la invitación para compartir pendiente.

5. Seleccione el nombre del recurso compartido y, a continuación, elija Aceptar recurso compartido. Después de aceptar el recurso compartido, el contenido compartido aparece como Activo.

6. En la cuenta compartida (cuenta B, en este ejemplo), abra la consola de ACM PCA en la región donde se encuentra la PCA. Verá la PCA compartida en su cuenta. Puede usar la PCA compartida para emitir certificados x509 privados.

Información relacionada

How to use AWS RAM to share your ACM Private CA cross-account