Eu já vi times perderem horas com uma tarefa que parecia pequena: renovar certificado TLS. Quando a validade era mais longa, ainda dava para conviver com planilhas, alertas soltos e um pouco de memória. Agora, isso mudou. Os períodos de validade vão ficar menores, com redução para 100 dias em março de 2027 e para 47 dias até 2029. Na prática, a renovação manual deixa de ser viável.
Certificados públicos passaram a exigir automação, não apenas atenção.
Esse cenário pesa ainda mais em ambientes com muitas aplicações, vários domínios e exigência de auditoria. Eu penso muito nisso quando observo operações que não podem parar. É o tipo de contexto em que a Interserv Cloud atua todos os dias, ajudando empresas a manter segurança, resiliência e controle dentro da AWS sem criar pontos cegos.
Por que o ACME ganhou tanto espaço
O protocolo ACME é uma forma aberta de solicitar, renovar e revogar certificados TLS sem intervenção humana. Ele é o mesmo usado pelo Let’s Encrypt e tem suporte em vários clientes e plataformas. Entre os clientes ACMEv2 mais conhecidos estão o Certbot e o acme.sh, o que ajuda bastante na adoção.
Na minha experiência, o valor do ACME não está só na renovação automática. Ele também reduz risco operacional. Menos senha compartilhada, menos acesso manual ao DNS, menos corrida de última hora perto da expiração.
Menos toque humano. Menos erro.
Antes da novidade no AWS Certificate Manager, quem queria automação por ACME precisava recorrer a autoridades externas. O resultado era ruim para governança. Parte dos certificados ficava no ACM e parte fora dele. Com isso, o time perdia visão centralizada, auditoria mais simples e um painel único para acompanhar tudo.
Agora o ACM oferece suporte ACME com endpoint totalmente gerenciado e compatível com clientes ACMEv2.
O que muda com o suporte ACME no ACM
Quando eu olho para esse recurso, vejo um ganho claro de controle. O ACM com suporte ACME permite criar endpoints ACME gerenciados e concentrar administração e monitoramento no mesmo lugar. Isso reduz fragmentação e ajuda muito em ambientes grandes.
O administrador de PKI passa a contar com recursos que fazem diferença no dia a dia:
- Vinculação de roles IAM às contas ACME para restringir quais domínios podem ser solicitados.
- Definição do escopo de domínio por endpoint, impondo políticas da organização.
- Monitoramento centralizado de solicitações e certificados emitidos.
- Logs detalhados para auditoria.
- Alertas de expiração para acompanhamento contínuo.
Eu gosto desse modelo porque ele separa bem as funções. O administrador valida o domínio uma única vez via DNS, usando credenciais que não são compartilhadas. Depois, os donos das aplicações só registram seus clientes ACME e pedem certificados com EAB, sem tocar no DNS. Isso amplia a automação sem abrir mão da segurança.
Para quem cuida de disponibilidade, esse tipo de padronização conversa diretamente com temas como segurança em nuvem e também com práticas de escalabilidade em ambientes de alto tráfego.
Como configurar o endpoint ACME no ACM
O fluxo é bem direto. Eu resumiria em quatro etapas:
- Criar um endpoint ACME no ACM.
- Definir controles de autorização com EAB, o External Account Binding.
- Validar os domínios que poderão emitir certificados por aquele endpoint.
- Apontar os clientes ACME para o novo endpoint.
Na criação do endpoint pelo console do ACM, eu informo um nome e escolho o tipo de chave permitido. As opções incluem ECDSA P-256, RSA 2048 e ECDSA P-384. Depois, seleciono o domínio e defino o escopo aceito:
- Apenas o domínio exato.
- Subdomínios.
- Wildcard.
Também é preciso apontar a zona hospedada. Se o domínio estiver no Route 53, a criação das entradas de DNS para validação pode ser automatizada. Se o domínio estiver fora do Route 53, a inclusão do CNAME é manual. Eu já passei pelos dois cenários, e a diferença prática é só o esforço na etapa inicial de validação.
A validação de domínio no ACM com ACME é feita uma vez pelo administrador, e depois o time de aplicação pode emitir sem mexer no DNS.
Esse ponto é muito bom para empresas com governança mais rígida. Dá para limitar tipos de certificados, restringir wildcards e evitar a compra de ferramentas específicas para ciclo de vida de certificados ou o desenvolvimento de algo próprio.
Como registrar o cliente e emitir o certificado
Depois do endpoint criado, vem a parte do EAB. No cadastro do cliente ACME, o ACM gera um identificador e uma chave HMAC. Cada cliente precisa ser configurado com esses dados. Eu recomendo tratar esse material com o mesmo cuidado dado a outras credenciais operacionais.
Na etapa de solicitação, o próprio console do ACM fornece um comando de exemplo para o Certbot. O trabalho passa a ser substituir os placeholders pelo endpoint, pelas credenciais EAB e pelo domínio desejado. Em seguida, basta executar o comando no cliente.
Se tudo estiver certo, o resultado será um certificado válido assinado pela Amazon Trust Services. Antes da instalação, eu gosto de fazer uma checagem simples com openssl para visualizar os dados do certificado emitido, confirmar assunto, validade e cadeia.
Uma vantagem prática, e eu diria até bem tranquila de administrar, é que o certificado emitido fica visível junto dos outros certificados no ACM. Nada de caçar ativos em vários lugares.
Em operações maiores, eu vejo isso como parte de uma disciplina mais ampla. Certificado fora do ar afeta aplicação, reputação e até custos indiretos. Por isso, faz sentido combinar essa automação com boas práticas de orçamento, como as que comento em formas de evitar surpresas no orçamento da AWS, além de atenção à proteção do ambiente, como em defesa atual contra ataques DDoS e em estratégias para garantir resiliência na nuvem AWS.
Disponibilidade, custos e governança
O suporte ACME no ACM já está disponível em todas as regiões comerciais da AWS. A previsão é de liberação futura também para as regiões GovCloud nos EUA e China. Para organizações globais, isso abre espaço para padronização maior entre contas e times.
Sobre preço, a cobrança é feita por domínio incluído em cada certificado. Há diferença entre domínios totalmente qualificados e wildcards. Os volumes são calculados por mês, e a base de cálculo é a quantidade total de domínios presentes nos certificados emitidos pela conta. Como a composição pode variar conforme o uso, eu sempre sugiro consultar a página oficial de preços para validar os detalhes mais atuais antes de projetar custo.
Na minha visão, o benefício mais nítido está no controle. Quando tudo fica centralizado no ACM, a organização ganha trilha de auditoria, limites claros por domínio e menos dependência de processos manuais. Para ambientes críticos, isso pesa bastante.
Conclusão
Eu enxergo a automação de certificados públicos no AWS ACM com ACME como uma resposta prática a um problema que só tende a crescer com a redução da validade dos certificados. O modelo com endpoint gerenciado, EAB, validação DNS única e visibilidade central reduz trabalho repetitivo e ajuda a manter políticas de segurança sob controle. Se a sua operação precisa ficar disponível, auditável e pronta para escalar, vale falar com a Interserv Cloud e entender como estruturar esse processo de forma segura dentro da AWS.
Perguntas frequentes
O que é ACM no AWS?
O ACM, ou AWS Certificate Manager, é o serviço da AWS para emitir, gerenciar e monitorar certificados digitais. Com o suporte ACME, ele também pode atuar como endpoint gerenciado para emissão automática de certificados públicos compatíveis com clientes ACMEv2.
Como funciona o protocolo ACME?
O ACME é um protocolo aberto que automatiza a solicitação, renovação e revogação de certificados TLS. O cliente ACME conversa com uma autoridade certificadora por API, prova que controla o domínio e recebe o certificado sem intervenção humana durante o ciclo normal.
Como automatizar certificados com ACME?
Eu faço isso criando um endpoint ACME no ACM, definindo EAB para os clientes, validando previamente os domínios por DNS e apontando clientes como Certbot ou acme.sh para esse endpoint. Depois, a emissão e a renovação passam a ocorrer de modo automático.
Quais são os custos do ACM?
No suporte ACME para certificados públicos, a cobrança considera os domínios incluídos em cada certificado. Há diferença de preço entre domínios totalmente qualificados e wildcards. O volume é apurado por mês com base no total de domínios presentes nos certificados emitidos pela conta.
É seguro usar automação no ACM?
Sim, desde que a configuração seja feita com boa governança. O ACM permite restringir domínios por endpoint, vincular roles IAM às contas ACME, usar EAB para autorizar clientes, manter logs detalhados e concentrar monitoramento. Isso ajuda a automatizar sem expor credenciais de DNS aos times de aplicação.
