Una API REST de API Gateway regional utiliza un dominio personalizado y tiene su endpoint predeterminado deshabilitado. Los equipos internos llaman a la API y la empresa quiere añadir mTLS (mutual TLS) para una autenticación adicional entre los clientes y la API. ¿Qué pasos son necesarios para implementar mTLS para esta API? (Elija dos).

Para implementar mTLS en API Gateway, es fundamental que los clientes presenten certificados firmados por una CA de confianza para el API Gateway. La primera acción correcta es usar AWS Certificate Manager (ACM) para crear una CA privada. Esto permite a la empresa emitir y gestionar sus propios certificados de cliente, garantizando el control y la seguridad. La segunda acción correcta es cargar el certificado raíz de esta CA privada en un bucket de S3. API Gateway utilizará este certificado raíz como "trust store" para validar los certificados de cliente presentados. Las opciones incorrectas son: Obtener certificados de cliente firmados por una CA pública no es ideal para mTLS interno, ya que el objetivo es la autenticación mutua controlada por la empresa. Cargar los certificados de cliente en un bucket de S3 no es la forma en que API Gateway valida la confianza; necesita el certificado raíz de la CA. Cargar las claves privadas del cliente en S3 es una práctica insegura y no es relevante para el almacén de confianza de API Gateway.