Un'API REST di API Gateway regionale utilizza un dominio personalizzato e ha il suo endpoint predefinito disabilitato. I team interni richiamano l'API e l'azienda desidera aggiungere il TLS reciproco (mTLS) per un'autenticazione aggiuntiva tra i client e l'API. Quali passaggi sono necessari per implementare mTLS per questa API? (Scegliere due.)

Per implementare mTLS, i client devono presentare un certificato client attendibile. Il primo passo corretto è utilizzare AWS Certificate Manager (ACM) per creare una Certificate Authority (CA) privata e usarla per emettere i certificati client. Questo garantisce che i certificati client siano firmati da una CA controllata dall'organizzazione. Il secondo passo corretto è caricare il certificato root di questa CA privata in un bucket S3. Questo bucket S3 fungerà da trust store per API Gateway, permettendogli di verificare la validità dei certificati client presentati. L'opzione di ottenere certificati client firmati da una CA pubblica non è ideale per l'autenticazione interna, poiché una CA privata offre maggiore controllo e sicurezza. Caricare i certificati client stessi in S3 non è il meccanismo corretto; API Gateway necessita del certificato root della CA per convalidare i certificati client, non dei certificati client individuali. Caricare le chiavi private del client in S3 è un rischio per la sicurezza e non è il modo in cui funziona il trust store di mTLS.