Uma API REST do API Gateway regional usa um domínio personalizado e tem seu endpoint padrão desabilitado. Equipes internas chamam a API, e a empresa quer adicionar TLS mútuo (mTLS) para autenticação adicional entre clientes e a API. Quais etapas são necessárias para implementar mTLS para esta API? (Escolha duas.)

Para implementar mTLS, você precisa de uma Autoridade Certificadora (CA) para emitir certificados de cliente e um trust store para o API Gateway validar esses certificados. A criação de uma CA privada no AWS Certificate Manager (ACM) permite emitir certificados de cliente controlados pela sua organização. O API Gateway precisa confiar nesses certificados, o que é feito configurando um trust store. Este trust store deve conter o certificado raiz da CA que assinou os certificados de cliente. Carregar o certificado raiz da CA privada para um bucket S3 e configurá-lo como trust store no API Gateway é o método correto para que o API Gateway possa validar os certificados de cliente apresentados. As opções incorretas incluem usar certificados de cliente de uma CA pública (mTLS geralmente usa CAs privadas para controle interno), carregar certificados de cliente para o S3 (o trust store precisa da CA raiz, não dos certificados de cliente individuais) ou carregar chaves privadas do cliente para o S3 (o trust store valida certificados, não armazena chaves privadas).