¿Puedo usar ACM para emitir certificados privados cuando la validez de AWS Private CA sea inferior a 13 meses?

Descripción breve

Los certificados privados que solicite en la consola de ACM son válidos durante 13 meses. ACM no puede emitir certificados privados si el periodo de validez de la autoridad de certificación privada de AWS es inferior a 13 meses. Si usó la consola de ACM para solicitar un certificado privado y el periodo de validez de la CA es inferior a 13 meses, se produce un error en la solicitud.

Para solucionar este error, solicite un certificado privado con un periodo de validez más corto mediante la API IssueCertificate. A continuación, importe el certificado a ACM para poder usarlo con los servicios integrados.

Resolución

Uso de la API IssueCertificate para emitir un nuevo certificado privado con un periodo de validez más corto

Nota: Si se muestran errores al ejecutar comandos de la Interfaz de la línea de comandos de AWS (AWS CLI), consulte Troubleshoot AWS CLI errors. Además, asegúrese de utilizar la versión más reciente de la AWS CLI.

Ejecute el comando issue-certificate de la AWS CLI para emitir un certificado privado con una fecha de vencimiento anterior al fin del periodo de validez de las CA:

aws acm-pca issue-certificate --certificate-authority-arn arn:aws:acm-pca:us-west-2:123456789012:certificate-authority/12345678-1234-1234-1234-123456789012 --csr fileb://cert_1.csr --signing-algorithm "SHA256WITHRSA" --validity Value=300,Type="DAYS" --idempotency-token 1234

Nota: Debe generar su propia solicitud de firma de certificados (CSR) y clave privada para el certificado privado.

Obtención de la cadena y el organismo del certificado privado y la cadena de AWS Private CA y posterior importación a ACM

1. Ejecute el comando get-certificate para obtener la cadena y el organismo del certificado privado:

   aws acm-pca get-certificate \--certificate-authority-arn arn:aws:acm-pca:region:account:\
   certificate-authority/12345678-1234-1234-1234-123456789012 \
   --certificate-arn arn:aws:acm-pca:region:account:\
   certificate-authority/12345678-1234-1234-1234-123456789012/\
   certificate/6707447683a9b7f4055627ffd55cebcc \
   --output text

    Ejemplo de resultado con el certificado de formato PEM codificado en base64 y la cadena de certificados:

   -----BEGIN CERTIFICATE-----...base64-encoded certificate...
   -----END CERTIFICATE----
   -----BEGIN CERTIFICATE-----
   ...base64-encoded certificate...
   -----END CERTIFICATE----
   -----BEGIN CERTIFICATE-----
   ...base64-encoded certificate...
   -----END CERTIFICATE----

2. Ejecute los siguientes comandos para guardar la cadena y el organismo del certificado como archivos .pem:

   Cadena de certificados:

   aws acm-pca get-certificate --certificate-authority-arn  arn:aws:acm-pca:Region:Account:certificate-authority/12345678-1234-1234-1234-123456789012 --certificate-arn arn:aws:acm-pca:Region:Account:certificate-authority/12345678-1234-1234-1234-123456789012/certificate/66506378eb4e296c59b41bbb7b8dd068 --output text --query CertificateChain > certchain.pem

   Organismo del certificado:

   aws acm-pca get-certificate --certificate-authority-arn  arn:aws:acm-pca:Region:Account:certificate-authority/12345678-1234-1234-1234-123456789012 --certificate-arn arn:aws:acm-pca:Region:Account:certificate-authority/12345678-1234-1234-1234-123456789012/certificate/66506378eb4e296c59b41bbb7b8dd068 --output text --query Certificate > certfile.pem
   

3. Para usar el certificado privado con servicios integrados, ejecute el comando import-certificate de la AWS CLI para importar el certificado:
   Nota: Sustituya certfile.pem, privately.key y certchain.pem por los nombres de sus archivo.

   aws acm import-certificate --certificate fileb://certfile.pem --private-key fileb://privatekey.key --certificate-chain fileb://certchain.pem