ACM เปิด ACME สำหรับใบรับรองสาธารณะใน AWS GovCloud สอง Region
AWS ACM รองรับ ACMEv2 ใน GovCloud US-East และ US-West ให้ Certbot, cert-manager และ acme.sh ออกและต่ออายุใบรับรองสาธารณะ
ACM เปิด ACME สำหรับใบรับรองสาธารณะใน AWS GovCloud สอง Region
AWS ประกาศเมื่อ 29 ตุลาคม 2026 ว่า AWS Certificate Manager หรือ ACM รองรับโปรโตคอล ACME ใน AWS GovCloud (US-East) และ AWS GovCloud (US-West) แล้ว บริการมี ACME server endpoint ที่จัดการโดย AWS และออกใบรับรอง TLS สาธารณะจาก Amazon Trust Services ให้ไคลเอนต์ที่รองรับ ACMEv2 เช่น Certbot, cert-manager สำหรับ Kubernetes และ acme.sh การขยายพื้นที่ครั้งนี้ช่วยทีมที่รันโครงสร้างพื้นฐานใน GovCloud ทำระบบออกและต่ออายุใบรับรองโดยใช้เครื่องมือมาตรฐาน
งานที่ ACME ช่วยลด
ใบรับรอง TLS มีอายุจำกัด เมื่อใกล้หมดอายุ ทีมต้องขอใหม่ ติดตั้ง และยืนยันว่าเซิร์ฟเวอร์ใช้ฉบับล่าสุด หากทำด้วยมือหรือพึ่งสคริปต์เฉพาะกิจหลายชุด ความผิดพลาดเล็กน้อยอาจทำให้เว็บไซต์หรือ API เชื่อมต่อไม่ได้ ประกาศของ AWS ชี้ว่าทิศทางการลดอายุใบรับรองสาธารณะลงเหลือ 47 วันภายในปี 2029 ทำให้กระบวนการต่ออายุด้วยมือยิ่งไม่เหมาะ ACME จึงเป็นช่องทางให้ไคลเอนต์จัดการวงจรชีวิตใบรับรองอย่างเป็นระบบ
ความสามารถของ ACM ผ่าน ACME เหมาะกับ workload ที่ทีมดูแลโครงสร้างพื้นฐานเอง เช่น เซิร์ฟเวอร์ภายในองค์กร คลัสเตอร์ Kubernetes หรือระบบ hybrid ตามเอกสาร AWS ไคลเอนต์สร้างและเก็บ private key ไว้ในระบบของตน แล้วเป็นผู้ติดตั้งใบรับรองและต่ออายุก่อนหมดอายุ ใบรับรองที่ออกผ่าน ACME ปรากฏใน inventory ของ ACM เพื่อให้มองเห็นจากส่วนกลาง แต่เอกสารระบุว่าไม่สามารถนำใบรับรองชนิดนี้ไปผูกกับบริการ AWS ที่รองรับ ACM integration โดยตรง เช่น load balancer ในลักษณะเดียวกับใบรับรองที่ขอผ่าน ACM ปกติ
แบ่งหน้าที่ระหว่างผู้ดูแล PKI กับไคลเอนต์
เอกสาร ACM อธิบายสถาปัตยกรรมสองส่วน: ฝั่ง control plane ผู้ดูแล PKI สร้าง ACME endpoint กำหนดการตรวจสอบโดเมน และสร้างข้อมูลสำหรับ external account binding ส่วนฝั่ง data plane ไคลเอนต์ ACME ลงทะเบียนบัญชีแล้วขอใบรับรองสำหรับโดเมนที่ผู้ดูแลอนุมัติล่วงหน้า รูปแบบนี้ต่างจาก ACME สาธารณะบางบริการที่ไคลเอนต์พิสูจน์ความเป็นเจ้าของโดเมนทุกครั้งที่ขอใบรับรอง การอนุมัติโดเมนไว้ก่อนช่วยให้ทีมกำหนดขอบเขตว่า endpoint ใดออกใบรับรองให้ชื่อใดได้
ก่อนใช้งานจริง ควรกำหนดเจ้าของโดเมนและผู้มีสิทธิ์สร้าง endpoint ให้ชัดเจน ทดสอบการผูกบัญชี ACME กับ endpoint และตรวจว่าการออกใบรับรองได้เฉพาะชื่อที่ได้รับอนุมัติ จากนั้นทดสอบทั้งการติดตั้งครั้งแรกและการต่ออายุซ้ำ โดยดูว่าไคลเอนต์นำใบรับรองฉบับใหม่ไปให้บริการที่ใช้งานจริงได้ครบทุก instance ไม่ใช่เพียงได้รับไฟล์ใบรับรองสำเร็จ
การตรวจในระบบปฏิบัติการ
ทีมที่ใช้ cert-manager ควรตรวจเส้นทาง secret และการ reload ของ ingress หรือแอปพลิเคชัน ส่วนทีมที่ใช้ Certbot หรือ acme.sh ควรตรวจ hook หลังต่ออายุและสิทธิ์เข้าถึง private key ให้มีเท่าที่จำเป็น ตั้งแจ้งเตือนเมื่ออายุใบรับรองเหลือน้อยหรือการต่ออายุล้มเหลว และทดสอบการเชื่อมต่อ TLS จากภายนอกเพื่อดูใบรับรองที่ถูกเสิร์ฟจริง การมี automation ไม่ได้ช่วยหากเซิร์ฟเวอร์ยังแสดงใบรับรองเก่าหลังไคลเอนต์ต่ออายุสำเร็จ
ประกาศนี้ครอบคลุมใบรับรอง สาธารณะ ใน GovCloud สอง Region ที่ระบุ ไม่ได้ประกาศว่า ACME ใช้แทนระบบใบรับรองภายในจาก private CA หรือเปลี่ยนพฤติกรรมการต่ออายุของใบรับรอง ACM ที่ผูกกับบริการ AWS อยู่แล้ว องค์กรควรเลือกวิธีตามตำแหน่งที่เก็บ private key และผู้รับผิดชอบการติดตั้ง: ACM ปกติสำหรับบริการที่ผูกกับ AWS โดยตรง และ ACM ผ่าน ACME สำหรับโครงสร้างพื้นฐานที่ทีมติดตั้งใบรับรองเอง
แหล่งข่าว: AWS What's New, 29 ตุลาคม 2026 และ เอกสาร ACM ACME