Eine regionale API Gateway REST-API verwendet eine benutzerdefinierte Domäne und hat ihren Standard-Endpunkt deaktiviert. Interne Teams rufen die API auf, und das Unternehmen möchte gegenseitiges TLS (mTLS) für zusätzliche Authentifizierung zwischen Clients und der API hinzufügen. Welche Schritte sind erforderlich, um mTLS für diese API zu implementieren? (Wählen Sie zwei.)

Um mTLS mit API Gateway zu implementieren, müssen Sie zunächst Client-Zertifikate ausstellen. Dies geschieht am besten mit AWS Certificate Manager Private CA, da es die Erstellung und Verwaltung einer privaten PKI für die Ausstellung von Client-Zertifikaten ermöglicht, die für interne Teams geeignet ist. Öffentliche CAs sind nicht für die Ausstellung von Client-Zertifikaten für interne Authentifizierung gedacht. Zweitens muss API Gateway die Gültigkeit der von Clients präsentierten Zertifikate überprüfen können. Dazu benötigt API Gateway einen Trust Store, der das Stammzertifikat der privaten CA enthält, die die Client-Zertifikate ausgestellt hat. Dieses Stammzertifikat wird in einen S3-Bucket hochgeladen und API Gateway so konfiguriert, dass es diesen S3-Bucket als Trust Store verwendet. API Gateway verwendet dann dieses Stammzertifikat, um die Kette der Client-Zertifikate zu validieren. Das Hochladen von Client-Zertifikaten oder privaten Schlüsseln in S3 ist nicht erforderlich und unsicher; nur das Stammzertifikat der CA wird benötigt.