Como posso ser notificado quando meus certificados importados do ACM estiverem prestes a expirar?

Breve descrição

Para receber uma notificação de que seu certificado está prestes a expirar, use um dos seguintes métodos:

• Configure o Evento de expiração do certificado ACM se aproximando.
• Crie uma regra personalizada do Amazon EventBridge e uma regra do AWS Config.
• Crie um alarme do Amazon CloudWatch.

Por padrão, o evento Expiração do certificado ACM se aproximando envia notificações 45 dias antes da expiração de um evento. É possível alterar o dia, mas não pode exceder 45 dias. Para configurar notificações para mais de 45 dias antes da expiração de um evento, use uma regra personalizada do EventBridge ou um alarme do CloudWatch.

Resolução

Configurar o evento Certificado do ACM prestes a expirar no EventBridge

Pré-requisito: se você não tiver um tópico do Amazon Simple Notification Service (Amazon SNS), crie um tópico.

Conclua as etapas a seguir:

1. Abra o console do EventBridge.
2. No painel de navegação, selecione Regras e, em seguida, clique em Criar regra.
3. Insira um Nome para sua regra.
   Observação: você deve nomear de forma exclusiva as regras que estão na mesma região da AWS e no mesmo barramento de eventos.
4. Em Barramento de eventos, selecione o barramento de eventos. Para combinar a regra com os eventos da sua conta da AWS, selecione barramento de eventos padrão da AWS para que o evento vá para o barramento de eventos padrão da sua conta.
5. Em Tipo de regra, selecione Regra com um padrão de evento e, em seguida, clique em Próximo.
6. Em Origem do evento, selecione eventos da AWS ou eventos de parceiros do EventBridge.
7. Em Método de criação, selecione a opção Usar formulário de padrão.
8. Na seção Padrão de evento, conclua as seguintes etapas:
   Em Origem do evento, selecione Serviços AWS.
   Em Serviço AWS, clique em Certificate Manager.
   Em Tipo de evento, selecione Expiração do certificado ACM se aproximando.
9. Clique em Próximo.
10. Em Tipos de destino, selecione Serviço da AWS.
11. Em Selecionar um destino, clique em tópico do SNS e, em seguida, selecione o tópico do Amazon SNS.
12. Clique em Próximo.
13. (Opcional) Adicione etiquetas.
14. Clique em Próximo.
15. Revise os detalhes da regra e clique em Criar regra.

Depois de criar a regra, é possível alterar a data de recebimento da notificação de expiração. Na operação PutAccountConfiguration da API do ACM, insira um valor entre 1–45 em DaysBeforeExpiry.

Crie uma regra personalizada do EventBridge e uma regra do AWS Config

Pré-requisito: se você não tiver um tópico do Amazon SNS, crie um tópico.

Use um padrão de evento personalizado com uma regra do EventBridge para corresponder à Regra gerenciada acm-certificate-expiration-check do AWS Config. Em seguida, encaminhe a resposta para um tópico do Amazon SNS. O tópico do Amazon SNS deve estar na mesma região da AWS que seu serviço do AWS Config.

Observação: ao usar o AWS Config, você acumula cobranças. Para obter mais informações, consulte Preços do AWS Config.

Crie a regra do EventBridge

Conclua as etapas a seguir:

1. Abra o console do EventBridge.

2. Selecione Regras e depois Criar regra.

3. Em Nome, insira um nome para sua regra.

4. Em Tipo de regra, clique em Regra com padrão de evento e depois em Próximo.

5. Em Origem do evento, selecione eventos da AWS ou eventos de parceiros do EventBridge.

6. Em Padrão de evento, clique em Padrões personalizados (editor JSON).

7. No painel de visualização Padrão de evento, insira o seguinte padrão de evento:

   {  "source": [    "aws.config"
     ],
     "detail-type": [
       "Config Rules Compliance Change"
     ],
     "detail": {
       "messageType": [
         "ComplianceChangeNotification"
       ],
       "configRuleName": [
         "acm-certificate-expiration-check"
       ],
       "resourceType": [
         "AWS::ACM::Certificate"
       ],
       "newEvaluationResult": {
         "complianceType": [
           "NON_COMPLIANT"
         ]
       }
     }
   }

8. Clique em Próximo.

9. Em Selecionar um destino, clique em Tópico do SNS.

10. Em Tópico, selecione seu tópico do SNS.

11. Na lista suspensa Configurar entrada de destino, selecione Transformador de entrada.

12. Clique em Configurar transformador de entrada.

13. Na caixa de texto Caminho de entrada, insira o seguinte caminho:

{  "awsRegion": "$.detail.awsRegion",  "resourceId": "$.detail.resourceId",
  "awsAccountId": "$.detail.awsAccountId",
  "compliance": "$.detail.newEvaluationResult.complianceType",
  "rule": "$.detail.configRuleName",
  "time": "$.detail.newEvaluationResult.resultRecordedTime",
  "resourceType": "$.detail.resourceType"
}

14. Na caixa de texto Modelo, insira o seguinte modelo:

"On example_time AWS Config rule example_rule evaluated the example_resourceType with Id example_resourceId in the account example_awsAccountId region example_awsRegion as example_compliancetype.""For more details open the AWS Config console at https://console.aws.amazon.com/config/home?region=awsRegion#/timeline/resourceType/resourceId/configuration."

Observação: substitua os valores de exemplo pelos seus valores. Clique em Confirmar e, em seguida, Próximo. Selecione Próximo novamente e depois clique em Criar regra.

Se o ACM ativar um tipo de evento, você receberá uma notificação por e-mail do SNS.

Crie a regra do AWS Config

Para criar a regra do AWS Config, conclua as seguintes etapas:

1. Abra o console do AWS Config.
2. No painel de navegação, clique em Regras e, em seguida, Adicionar regra.
3. Em Selecionar o tipo de regra, selecione Adicionar regra gerenciada pela AWS.
4. Em Regras gerenciadas da AWS, selecione acm-certificate-expiration-check e depois clique em Próximo.
5. Na página Parâmetros, em Valor, insira o número de dias que você deseja que a regra invoque na chave daysToExpiration.
   Observação: se os certificados estiverem próximos da data de expiração do número de dias que você inserir, a regra acm-certificate-expiration-check identifica a regra como NON_COMPLIANT.
6. Clique em Próximo e depois em Adicionar regra.

Crie um alarme do CloudWatch com base em um limite estático

Conclua as etapas a seguir:

1. Abra o console do CloudWatch.
2. No painel de navegação, selecione Alarmes e depois Todos os alarmes.
3. Clique em Criar alarme e, depois, em Selecionar métrica.
4. Selecione Certificate Manager e, em seguida, Métricas do certificado.
5. Na página Métricas, selecione a métrica e clique em Selecionar métrica.
6. Na página Especificar métricas e condições, em Estatística, selecione Mínimo.
7. Em Período, clique em 1 dia.
8. Em Sempre que DaysToExpiry for..., selecione Menor/Igual a e depois defina que... como o número de dias em que você deseja que o alarme seja executado antes da expiração.
9. Clique em Próximo.
10. Em Notificação, selecione Em alarme.
11. Em Enviar uma notificação ao seguinte tópico do SNS, clique em Selecionar um tópico existente do SNS ou Criar novo tópico e clique em Próximo.
12. Insira um nome de alarme e clique em Próximo.
13. Selecione Criar alarme.

Para obter mais informações, consulte Criar um alarme do CloudWatch com base em um limite estático.

Informações relacionadas

Reimportar um certificado

Getting started with AWS Certificate Manager certificates (Introdução aos certificados do AWS Certificate Manager)

Como uso o AWS Config para ser notificado quando um recurso da AWS não estiver em conformidade?

Melhores práticas de segurança para AWS Config