觀點 · 資訊分享

AWS 推出開源工具自動更新憑證：SSL 憑證越換越勤，不用再自己寫腳本防過期

AWS 在 6 月 11 日發表 Workload Credentials Provider，能自動把 ACM 匯出的憑證部署到 Apache 或 NGINX，也能在本機快取 Secrets Manager 的機密，AWS 內外的主機都能用。

一句話看懂：AWS 推出開源工具 Workload Credentials Provider，可以自動把續期後的 SSL 憑證部署到伺服器，也能在本機快取機密資料，不用再自己寫腳本。

AWS 新工具自動更新憑證資訊圖卡：ACM 憑證續期後，自動部署到伺服器，還能順便快取機密資料

先用白話講：這個工具在解決什麼？

網站的 SSL 憑證就像一張有效期限的通行證，過期了瀏覽器就會跳出「不安全」的警告。以前通行證一張可以用很久，大家記得換就好；但現在規定要求每張的有效期越來越短，意味著你得更常去換。

這就像把月票改成週票：每次都要記得去換，忘了一次整個網站就出事。AWS Workload Credentials Provider 就是請了一位專人，通行證一續期，就自動幫你送到該放的位置，再通知伺服器重新載入。

AWS 在 6 月 11 日宣布這個輕量的用戶端工具，負責兩件事：

官方指出，以前匯出 ACM 憑證的客戶，得自己用 Amazon EventBridge 寫自動化來偵測續期、再部署新憑證；而公開憑證有效期限因 CA/B 論壇的規定而縮短，這種自寫的自動化在規模變大後會越來越難維護。

你需要做的設定：

之後工具會自動處理憑證的匯出與部署，避免因過期而造成的故障。

接案時最常見的老問題，就是客戶網站的憑證過期，早上突然全站打不開。過去憑證有效期長，一年才換一次，容易被遺忘；有效期縮短之後，這種「忘記換」的風險只會更高。把更新這件事交給工具，是正確的方向。

不過我會提醒：自動化也要有監控。工具部署好了、伺服器有沒有真的重新載入、新憑證有沒有生效，都要確認。上線前先在測試機走一遍完整流程，並設定憑證到期的告警，作為最後一道防線。

為什麼憑證要「自動換」？

官方說明，公開憑證的有效期限依 CA/B 論壇的規定正在縮短，換新的頻率越來越高。手動更新或自寫腳本在伺服器多的時候很容易漏掉，導致憑證過期、網站出錯。

它也能用在 AWS 以外的主機嗎？

可以。官方說它能跨 AWS 與非 AWS 的工作負載運作，在 Windows 與 Linux 上執行，並支援 Apache 與 NGINX。

原本用 Secrets Manager Agent 的人要改嗎？

官方說這個工具在機密快取功能上與 AWS Secrets Manager Agent 完全向下相容，可以用同一個工具處理機密與憑證。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。