Региональный REST API-интерфейс API Gateway использует пользовательский домен, а его конечная точка по умолчанию отключена. Внутренние команды вызывают API, и компания хочет добавить взаимный TLS (mTLS) для дополнительной аутентификации между клиентами и API. Какие шаги необходимы для реализации mTLS для этого API? (Выберите два.)

Для реализации mTLS с API Gateway необходимо, чтобы клиенты представляли сертификаты, которым доверяет API Gateway. Первый шаг — создать частный центр сертификации (CA) с помощью AWS Certificate Manager (ACM) Private CA. Этот частный CA будет использоваться для выпуска клиентских сертификатов для внутренних команд. Затем API Gateway должен быть настроен на доверие этим клиентским сертификатам. Это достигается путем загрузки корневого сертификата частного CA в бакет S3. Этот корневой сертификат CA служит хранилищем доверия для API Gateway, позволяя ему проверять подлинность клиентских сертификатов, выданных этим CA. Получение клиентских сертификатов, подписанных публичным CA, не подходит, так как mTLS обычно используется для внутренних сервисов, где частный CA обеспечивает больший контроль и безопасность. Загрузка выпущенных клиентских сертификатов или закрытых ключей клиентов в S3 неверна, так как API Gateway требует корневой сертификат CA для проверки подлинности, а не сами клиентские сертификаты или их закрытые ключи.