Een regionale API Gateway REST API gebruikt een aangepast domein en heeft het standaard eindpunt uitgeschakeld. Interne teams roepen de API aan en het bedrijf wil mutual TLS (mTLS) toevoegen voor aanvullende authenticatie tussen clients en de API. Welke stappen zijn nodig om mTLS voor deze API te implementeren? (Kies twee.)

Om mTLS te implementeren, moet u eerst een Private Certificate Authority (CA) aanmaken met AWS Certificate Manager (ACM) en clientcertificaten uitgeven die door deze CA zijn ondertekend. Dit zorgt voor een vertrouwensketen binnen uw eigen infrastructuur. Vervolgens moet u het rootcertificaat van deze private CA uploaden naar een S3-bucket. API Gateway gebruikt deze S3-bucket als de "trust store" om de clientcertificaten te valideren die worden gepresenteerd door interne teams die de API aanroepen. Het verkrijgen van clientcertificaten die zijn ondertekend door een openbare CA is niet nodig, aangezien u een private CA gebruikt voor interne authenticatie. Het uploaden van uitgegeven clientcertificaten of private sleutels naar S3 als trust store is onjuist; de trust store moet het rootcertificaat van de CA bevatten, niet de individuele clientcertificaten of hun private sleutels.