Route 53 hosted zones worden centraal beheerd in een gedeeld AWS-account. Een ontwikkelaar in het ontwikkelaccount heeft een nieuw TLS/SSL-certificaat nodig voor een applicatie in dat account. Wat is de juiste manier voor de SysOps-beheerder om het certificaat te verkrijgen en te valideren?

De juiste aanpak is dat de ontwikkelaar in het ontwikkelaccount het ACM-certificaat aanvraagt. Dit zorgt ervoor dat het certificaat eigendom is van en beheerd wordt binnen het account waar de applicatie draait. Voor de DNS-validatie moet het gedeelde account, dat de Route 53 hosted zones beheert, de benodigde CNAME-records aanmaken. Dit is de standaard en veiligste methode voor cross-account certificaatvalidatie met ACM en Route 53. De andere opties zijn incorrect: Het aanmaken van een KMS-sleutel is niet relevant voor het verkrijgen en valideren van een TLS/SSL-certificaat via ACM. Het aanvragen van het certificaat vanuit het gedeelde account is mogelijk, maar het is beter om het certificaat aan te vragen vanuit het account waar het wordt gebruikt voor een duidelijkere eigendoms- en verantwoordelijkheidsstructuur.