Une API REST API Gateway régionale utilise un domaine personnalisé et son point de terminaison par défaut est désactivé. Les équipes internes appellent l'API, et l'entreprise souhaite ajouter le TLS mutuel (mTLS) pour une authentification supplémentaire entre les clients et l'API. Quelles étapes sont nécessaires pour implémenter le mTLS pour cette API ? (Choisissez-en deux.)

Pour implémenter le mTLS, vous devez d'abord établir une chaîne de confiance pour les certificats clients. La création d'une autorité de certification (CA) privée via AWS Certificate Manager (ACM) vous permet d'émettre et de gérer des certificats clients internes, assurant ainsi une authentification forte. Ensuite, API Gateway a besoin d'un moyen de valider ces certificats clients. En téléchargeant le certificat racine de cette CA privée dans un compartiment S3 et en le configurant comme magasin de confiance pour l'API Gateway, l'API peut vérifier que les certificats présentés par les clients ont été émis par votre CA de confiance. Les autres options sont incorrectes car : Obtenir des certificats clients signés par une CA publique n'est pas la méthode préférée pour l'authentification interne et ne s'intègre pas directement avec le magasin de confiance d'API Gateway pour le mTLS. Télécharger les certificats clients ou les clés privées des clients dans S3 n'est pas la bonne approche. API Gateway a besoin du certificat racine de la CA pour valider les certificats clients, pas des certificats clients eux-mêmes ni de leurs clés privées.