Route 53 Hosted Zones werden zentral in einem gemeinsam genutzten AWS-Konto verwaltet. Ein Entwickler im Entwicklungskonto benötigt ein neues TLS/SSL-Zertifikat für eine Anwendung in diesem Konto. Wie kann der SysOps-Administrator das Zertifikat korrekt beziehen und validieren?

Die Anforderung eines ACM-Zertifikats muss in dem AWS-Konto erfolgen, in dem die Ressource (z.B. Load Balancer) eingesetzt wird, die das Zertifikat nutzen soll. Daher fordert der Entwickler das Zertifikat im Entwicklungskonto an. Da die Route 53 Hosted Zones zentral im gemeinsam genutzten Konto verwaltet werden, ist dieses Konto für die Erstellung der DNS-Validierungsdatensätze in der Hosted Zone zuständig. ACM generiert die CNAME-Einträge, die für die DNS-Validierung erforderlich sind, und das gemeinsam genutzte Konto fügt diese dann in die entsprechende Hosted Zone ein. Die anderen Optionen sind falsch, weil: KMS-Schlüssel sind für die Zertifikatsverwaltung in ACM nicht direkt relevant. ACM verwaltet die Schlüssel für die Zertifikate automatisch. Ein ACM-Zertifikat kann nicht direkt von einem anderen Konto angefordert und dann in einem separaten Konto verwendet werden, ohne dass es dort importiert oder neu ausgestellt wird, was den Prozess unnötig verkomplizieren würde.