llm-wiki/raw/official-docs/aws-acm-managed-renewal.md

title, source_type, url, archive_url, status, confidence, tags, related_projects, related_branches, created, last_reviewed

title	source_type	url	archive_url	status	confidence	tags	related_projects	related_branches	created	last_reviewed
AWS Certificate Manager — Managed Certificate Renewal (official-vendor-doc)	official-doc	https://docs.aws.amazon.com/acm/latest/userguide/managed-renewal.html		raw	high	aws acm tls certificate renewal dns-validation keycloak-https-termination		feature-keycloak-https-termination-caddy-nginx	2026-05-27	2026-05-27

AWS Certificate Manager — Managed Certificate Renewal (공식)

Layer: raw/official-docs/ — AWS Certificate Manager (ACM) 공식 User Guide 의 원문 발췌·출처 기록. Strength 분류: official-vendor-doc — AWS 의 공식 documentation site (docs.aws.amazon.com/acm/...). 검증된 요약은 /ingest 후 wiki/concepts/ 에 별도 작성.

Parent / 활용 branch (필수)

Branch	이 자료가 정당화하는 결정
raw/branch-notes/feature-keycloak-https-termination-caddy-nginx	D4 (EC2 + ALB + ACM auto-renewal) 의 근거 — ACM 이 (a) Amazon-issued public/private cert 의 자동 갱신, (b) DNS validation 시 fully automated renewal, (c) ELB / CloudFront 등 연동 시 ARN 유지 + zero-touch renewal 을 직접 진술. Caddy / certbot 대비 cloud-native managed cert 의 외부 근거.

컨텍스트

feature-keycloak-https-termination-caddy-nginx 의 D4 는 "EC2 + ALB + ACM 을 운영 환경 대안으로 기재" 라는 결정을 다룬다. ACM Managed Certificate Renewal 페이지는 (a) 자동 갱신 대상 자격 (ELB / CloudFront 연동 필요), (b) DNS 검증 시 fully automated, (c) email 검증 시 expiration 임박 알림 발송, (d) imported / 만료 cert 의 자동 갱신 제외, (e) ARN 유지 + region scope 를 직접 진술한다. 본 raw 는 D4 의 외부 근거로 보관.

출처 / Source

• 원본 URL: https://docs.aws.amazon.com/acm/latest/userguide/managed-renewal.html
• 부속 URL (DNS 갱신 timing): https://docs.aws.amazon.com/acm/latest/userguide/dns-renewal-validation.html
• 부속 URL (public cert 갱신 개요): https://docs.aws.amazon.com/acm/latest/userguide/renew-publicly-trusted.html
• 아카이브 URL: (미수집 — 추후 archive.org 스냅샷 추가)
• 저자 / 조직: Amazon Web Services — ACM User Guide
• 발행일: rolling docs (ACM current)
• 마지막 확인일: 2026-05-27

핵심 인용 / Key quotes (verbatim)

[§Managed certificate renewal] "ACM provides managed renewal for your Amazon-issued SSL/TLS certificates. This means that ACM will either renew your certificates automatically (if you are using DNS validation), or it will send you email notices when expiration is approaching."

[§Managed certificate renewal] "These services are provided for both public and private ACM certificates."

[§Managed certificate renewal] "A certificate is eligible for automatic renewal subject to the following considerations:"

[§Managed certificate renewal — Eligibility] "ELIGIBLE if associated with another AWS service, such as Elastic Load Balancing or CloudFront."

[§Managed certificate renewal — Eligibility] "ELIGIBLE if exported since being issued or last renewed."

[§Managed certificate renewal — Eligibility] "NOT ELIGIBLE if it is a private certificate issued by calling the AWS Private CA IssueCertificate API."

[§Managed certificate renewal — Eligibility] "NOT ELIGIBLE if imported."

[§Managed certificate renewal — Eligibility] "NOT ELIGIBLE if already expired."

[§Managed certificate renewal] "When ACM renews a certificate, the certificate's Amazon Resource Name (ARN) remains the same. Also, ACM certificates are regional resources. If you have certificates for the same domain name in multiple AWS Regions, each of these certificates must be renewed independently."

[§Renew ACM public certificates] "When issuing a managed, publicly trusted certificate, AWS Certificate Manager requires you to prove that you are the domain owner. This happens by means of either DNS validation or email validation. When a certificate comes up for renewal, ACM uses the same method that you chose earlier to re-validate your ownership."

[§Renewal for domains validated by DNS] "Managed renewal is fully automated for ACM certificates that were originally issued using DNS validation."

[§Renewal for domains validated by DNS] "At 45 days prior to expiration, ACM checks for the following renewal criteria:"

[§Renewal for domains validated by DNS — Note] "Previously issued certificates with a 395-day validity period renew 60 days before expiration and receive a renewed validity period of 198 days. Certificates with a 198-day validity period renew 45 days before expiration."

[§Renewal for domains validated by DNS — Criteria] "The certificate is currently in use by an AWS service."

[§Renewal for domains validated by DNS — Criteria] "All required ACM-provided DNS CNAME records (one for each unique Subject Alternative Name) are present and accessible via public DNS."

[§Renewal for domains validated by DNS] "If these criteria are met, ACM considers the domain names validated and renews the certificate."

[§Renewal for domains validated by DNS] "ACM sends AWS Health events and Amazon EventBridge events if it can't automatically validate a domain during renewal. These events are sent at 30 days, 15 days, seven days, three days, and one day prior to expiration."

Claims Extracted / 추출된 주장

Claim ID	Claim (이 자료가 직접 말하는 것)	Evidence quote	Strength	Applies to	Does not prove
AWS-ACM-RENEW-C1	ACM 은 Amazon-issued SSL/TLS certificate 에 대해 managed renewal 을 제공 — DNS validation 시 자동 갱신, 그 외 시 만료 임박 email 발송	[§Managed certificate renewal] "ACM provides managed renewal for your Amazon-issued SSL/TLS certificates. This means that ACM will either renew your certificates automatically (if you are using DNS validation), or it will send you email notices when expiration is approaching."	official-vendor-doc	ACM-issued (Amazon-issued) certificate	imported certificate / 외부 CA cert 는 본 인용 범위 밖 (C6 참조)
AWS-ACM-RENEW-C2	Managed renewal 은 public + private ACM certificate 모두 에 적용	[§Managed certificate renewal] "These services are provided for both public and private ACM certificates."	official-vendor-doc	ACM public / private cert 의 갱신 정책	private CA (AWS Private CA) 가 직접 IssueCertificate API 로 발급한 cert 는 별도 (C7 참조)
AWS-ACM-RENEW-C3	자동 갱신 자격 조건 1: AWS 서비스 (ELB / CloudFront 등) 에 attach 되어 있어야 함	[§Managed certificate renewal — Eligibility] "ELIGIBLE if associated with another AWS service, such as Elastic Load Balancing or CloudFront."	official-vendor-doc	ACM cert 가 자동 갱신 대상이 되는 조건	ELB / CloudFront 외 다른 AWS service (API Gateway, CloudFront Functions, App Runner 등) 의 정확한 목록은 본 인용 범위 밖 — "such as" 예시만
AWS-ACM-RENEW-C4	자동 갱신 자격 조건 2 (대안): 발급/갱신 후 export 된 cert 도 eligible	[§Managed certificate renewal — Eligibility] "ELIGIBLE if exported since being issued or last renewed."	official-vendor-doc	export 된 private cert 의 자동 갱신	export 의 빈도 / 자동화 방법은 본 인용 범위 밖
AWS-ACM-RENEW-C5	AWS Private CA IssueCertificate API 로 발급된 private cert 는 자동 갱신 NOT ELIGIBLE	[§Managed certificate renewal — Eligibility] "NOT ELIGIBLE if it is a private certificate issued by calling the AWS Private CA IssueCertificate API."	official-vendor-doc	ACM Private CA API 사용 시나리오	사용자가 별도 갱신 자동화를 구성하는 방법 (Lambda + EventBridge 등) 은 본 인용 범위 밖
AWS-ACM-RENEW-C6	Imported certificate 는 자동 갱신 NOT ELIGIBLE	[§Managed certificate renewal — Eligibility] "NOT ELIGIBLE if imported."	official-vendor-doc	외부 CA 에서 발급받아 ACM 에 import 한 cert	imported cert 의 만료 모니터링 메커니즘 (EventBridge expiry event 등) 은 본 인용 범위 밖
AWS-ACM-RENEW-C7	이미 만료된 cert 는 자동 갱신 NOT ELIGIBLE — 만료 이전에 갱신 트리거되어야 함	[§Managed certificate renewal — Eligibility] "NOT ELIGIBLE if already expired."	official-vendor-doc	만료된 ACM cert 의 처리	만료 후 재발급의 grace period / 절차는 본 인용 범위 밖
AWS-ACM-RENEW-C8	갱신 시 cert 의 ARN 은 유지 (변경되지 않음) — ELB listener / CloudFront distribution 등 ARN 참조 자원은 자동으로 새 cert 사용	[§Managed certificate renewal] "When ACM renews a certificate, the certificate's Amazon Resource Name (ARN) remains the same."	official-vendor-doc	ACM cert 를 ARN 으로 참조하는 모든 AWS service	listener / distribution 의 cert reload timing 은 본 인용 범위 밖 — service 별 동작
AWS-ACM-RENEW-C9	ACM cert 는 regional resource — 동일 도메인이라도 region 마다 별도 발급 + 별도 갱신	[§Managed certificate renewal] "ACM certificates are regional resources. If you have certificates for the same domain name in multiple AWS Regions, each of these certificates must be renewed independently."	official-vendor-doc	multi-region 배포 시 cert 관리	CloudFront 가 us-east-1 ACM cert 만 사용한다는 별도 제약은 본 인용 범위 밖 — 별도 CloudFront 문서
AWS-ACM-RENEW-C10	갱신 시 최초 발급 시 선택한 validation method (DNS or email) 을 그대로 재사용	[§Renew ACM public certificates] "When a certificate comes up for renewal, ACM uses the same method that you chose earlier to re-validate your ownership."	official-vendor-doc	ACM public cert 의 갱신 validation 동작	발급 후 validation method 변경 가능 여부는 본 인용 범위 밖
AWS-ACM-RENEW-C11	DNS validation 으로 발급된 cert 의 managed renewal 은 fully automated	[§Renewal for domains validated by DNS] "Managed renewal is fully automated for ACM certificates that were originally issued using DNS validation."	official-vendor-doc	DNS-validated ACM public cert	email validation cert 는 fully automated 가 아님 — 만료 임박 시 사용자 action 필요 (별도 페이지)
AWS-ACM-RENEW-C12	DNS-validated cert 의 갱신 시도는 만료 45일 전 에 시작 (또는 395-day cert 의 경우 60일 전)	[§Renewal for domains validated by DNS] "At 45 days prior to expiration, ACM checks for the following renewal criteria:" + "Previously issued certificates with a 395-day validity period renew 60 days before expiration and receive a renewed validity period of 198 days. Certificates with a 198-day validity period renew 45 days before expiration."	official-vendor-doc	ACM public cert (198-day current default) 와 legacy 395-day cert	갱신 시도가 한 번에 성공한다는 보장은 없음 — C14 의 EventBridge alert schedule 참조
AWS-ACM-RENEW-C13	DNS-validated 자동 갱신 criteria: (a) cert 가 AWS service 사용 중, (b) ACM-provided CNAME record 가 public DNS 에 여전히 존재	[§Renewal for domains validated by DNS — Criteria] "The certificate is currently in use by an AWS service." + "All required ACM-provided DNS CNAME records (one for each unique Subject Alternative Name) are present and accessible via public DNS."	official-vendor-doc	DNS-validated cert 의 자동 갱신 사전 조건	CNAME record 가 누락된 경우의 fallback 동작은 본 인용 범위 밖 — 갱신 실패 후 EventBridge alert (C14) 발생
AWS-ACM-RENEW-C14	자동 validation 실패 시 ACM 은 AWS Health + EventBridge event 를 발송 — 만료 30일, 15일, 7일, 3일, 1일 전 단계적 발송	[§Renewal for domains validated by DNS] "ACM sends AWS Health events and Amazon EventBridge events if it can't automatically validate a domain during renewal. These events are sent at 30 days, 15 days, seven days, three days, and one day prior to expiration."	official-vendor-doc	renewal 실패 시 alert 메커니즘	event 의 구체 schema / handler 자동화 (Lambda subscription 등) 는 본 인용 범위 밖

Usage Boundaries / 적용 경계

• 이 자료가 직접 증명하는 것:
  • AWS-ACM-RENEW-C1, C11: DNS validation 시 fully automated renewal (managed)
  • AWS-ACM-RENEW-C3, C4: 자동 갱신 자격 (ELB / CloudFront attach 또는 export)
  • AWS-ACM-RENEW-C5, C6, C7: 자동 갱신 제외 대상 (Private CA API / imported / expired)
  • AWS-ACM-RENEW-C8: ARN 유지 — listener / distribution 무중단 갱신의 기반
  • AWS-ACM-RENEW-C9: regional resource — multi-region cert 는 region 별 독립 갱신
  • AWS-ACM-RENEW-C12: 갱신 시도 timing (45일 전, legacy 395-day cert 의 경우 60일 전)
  • AWS-ACM-RENEW-C13, C14: 갱신 사전 조건 + 실패 시 alert schedule
• 이 자료가 증명하지 않는 것:
  • ACM public cert 의 default validity period — C12 의 "198-day validity period" 는 갱신 후 결과 lifetime 만 진술, 신규 발급 cert 의 default 가 198 일이라는 직접 진술은 본 페이지에 부재. 별도 ACM cert characteristics 페이지 확인 필요
  • HTTP validation 의 자동 갱신 동작 — 본 raw 의 인용은 DNS / email 만 다룸, HTTP-renewal-validation 은 별도 페이지
  • ALB Security Policy (TLS 1.2 enforce 등) — ACM 은 cert 발급/갱신만 진술, listener 의 TLS policy 는 ELB 측 별도
  • 갱신 시도의 retry 횟수 / 간격 — C14 는 alert schedule 만 진술, ACM 내부 retry 정책은 본 인용 범위 밖
  • Caddy / certbot 대비 운영 비교 — AWS 공식 문서는 자기 동작만 진술, 비교 결론은 별도 분석 필요
• 내 프로젝트에 적용하려면 추가 확인이 필요한 것:
  • feature-keycloak-https-termination-caddy-nginx 의 D4 에서 "ACM 자동 갱신" 을 보장하려면, ALB 가 cert 를 attach (C3) + DNS validation (C11) 조건을 모두 충족해야 함
  • Route53 hosted zone 의 ACM CNAME record 가 영구히 존재해야 함 (C13) — 운영 중 실수 삭제 시 갱신 실패 + EventBridge alert
  • multi-region (예: ap-northeast-2 + us-east-1) 배포 시 cert 도 region 별 (C9) — IaC 에서 region-scoped 자원 관리 필요
  • 갱신 실패 alert 의 실제 수신 (EventBridge → SNS → Slack 등) 은 별도 설정 필요 — C14 는 alert 발송만 보증

메모 / Notes

• C12 의 "198-day validity" 는 2024년 ACM 정책 변화의 결과 — 이전 발급 cert 는 395일 (13개월), 신규 / 갱신 cert 는 198일 (약 6.5개월). wiki/concepts 옮길 때 변화 timeline 명시 필요.
• C8 (ARN 유지) 는 D4 의 핵심 장점 — Caddy / certbot 처럼 cert 파일 path 가 바뀌지 않고, ALB listener config 도 수정 불필요. Terraform / CloudFormation 의 lifecycle 단순화.
• C5 는 함정 — AWS Private CA 를 직접 API 로 부르면 자동 갱신이 끊김. ACM 의 RequestCertificate API 를 통해서 발급 + AWS service 에 attach 해야 자동화 작동.
• C14 의 EventBridge alert 는 renewal 시도가 실패한 경우에만 발송 — 정상 갱신 시에는 alert 없음. "갱신 됐는지 확인" 은 별도 ACM DescribeCertificate API / EventBridge ACM Certificate Renewal Action Required event 필요.

Related / 관련

• 같은 주제 다른 raw 자료: raw/official-docs/caddy-automatic-https-docs.md (auto-HTTPS 대안), raw/official-docs/certbot-user-guide.md (Let's Encrypt + nginx 대안)
• 이 자료를 인용한 wiki 요약: (미작성)
• 이 자료를 인용하는 branch: raw/branch-notes/feature-keycloak-https-termination-caddy-nginx
• 인용하는 project: raw/project-notes/keycloak-patterns-overview