22、微服务中TLS加密传输的应用与权衡

微服务中TLS加密传输的应用与权衡

1. CA管理与ACM - PCA

在账户内可以进行CA（证书颁发机构）的日常维护和修改，修改后的CA可以与其他域账户共享。这样做有助于维护良好的域分类，避免将私有CA与组织内的任何域耦合，使组织内的实体保持完全自主。

ACM - PCA（AWS Certificate Manager Private Certificate Authority）能够创建完整的CA层次结构，包括根CA和从属CA，无需外部CA。CA层次结构为最受信任的根CA提供了强大的安全性和对证书的精细控制，同时允许从属CA进行批量颁发和较宽松的访问。微服务在大多数已知的通信模式中可以使用从属CA，而服务发现、日志记录等集中管理的服务可以使用根CA。这种灵活性在需要通过特定名称识别主题或难以轮换证书的情况下非常有用。

2. TLS加密传输

TLS（传输层安全协议）在系统中的第二个重要作用是为传输中的数据提供端到端加密。需要注意的是，TLS本身并不是一种加密算法，而是定义了客户端和服务器为了共同确定最适合它们之间通信的密码所需采取的步骤。

2.1 TLS握手

TLS连接的第一步是协商过程，客户端和服务器在这个过程中共同确定最适合双方的密码。这个信息交换发生在被称为TLS握手的通信阶段，TLS握手还用于交换端到端加密的加密密钥，因此它是任何两个进程之间通信中最关键但往往被忽视的方面之一。

TLS加密使用对称密钥算法，即服务器和客户端使用相同的加密密钥和双方商定的加密算法来加密通信通道。

不同的AWS服务支持多种密码，最强的密码是通过瀑布式选择过程确定的。服务器会创建一个按强度