Amazon Certificate Manager 常见问题

ACM 使您能够更轻松地在亚马逊云科技、混合和多云环境中为网站或应用程序启用 SSL/TLS。使用 ACM，您无需再像之前那样经历与使用和管理 SSL/TLS 证书相关的大量手动流程。ACM 还可管理证书续订，从而帮助您避免因证书配置错误、吊销或过期而导致的停机。您不仅能够获得 SSL/TLS 保护，还能轻松进行证书管理。为面向 Internet 的站点启用 SSL/TLS 有助于提高站点的搜索排名，并帮助您满足加密动态数据的合规性要求。

当您使用 ACM 管理证书时，它会应用强加密和密钥管理最佳实践来确保证书私有密钥得到安全保护和存储。通过 ACM，您可以使用亚马逊云科技管理控制台、Amazon CLI 或 Amazon Certificate Manager API 来集中管理亚马逊云科技中国区域中的所有 SSL/TLS ACM 证书。ACM 与其他亚马逊云科技服务集成，因此您可以请求 SSL/TLS 证书，然后通过亚马逊云科技管理控制台、Amazon CLI 命令或 API 调用，为弹性负载均衡器预置证书。

使用 ACM，您可以管理公有证书的生命周期。ACM 的功能取决于证书是否为公有证书、您获得证书的方式，以及证书的部署位置。请参阅“ACM 公有证书”，了解有关公有证书的更多信息。

公有证书 — ACM 管理用于 ACM 集成服务（包括弹性负载均衡器和 Amazon API Gateway）的公有证书的续订和部署。

可导出公钥证书 — ACM 管理可导出公有证书的续订，您可以将该证书部署到亚马逊云科技服务和/或本地环境中。

已导入证书 — 如果想将第三方证书与弹性负载均衡器或 Amazon API Gateway 配合使用，您可以使用亚马逊云科技管理控制台、Amazon CLI 或 ACM API 将该证书导入 ACM。ACM 不会管理已导入证书的续订流程。您负责监控所导入证书的到期日期，并在到期之前续订。您可以使用亚马逊云科技管理控制台监控已导入证书的到期日期，并导入新的第三方证书来替换即将到期的证书。

您可以将公有 ACM 证书用于以下亚马逊云科技服务：

• Elastic Load Balancing – 请参阅 Elastic Load Balancing 文档
• Amazon API Gateway – 请参阅 API Gateway 文档
• Amazon Elastic Beanstalk — 请参阅 Amazon Elastic Beanstalk 文档
• Amazon CloudFormation – 目前仅支持使用电子邮件验证的公有证书。请参阅 Amazon CloudFormation 文档。

信任 ACM 证书的浏览器会显示一个锁形图标，并且在连接到使用基于 SSL/TLS（例如使用 HTTPS）的 ACM 证书的站点时不会发出证书警告。

公有 ACM 证书由 Amazon 证书颁发机构（CA）验证。任何包含 Amazon Root CA 1、Starfield Services Root Certificate Authority - G2 或 Starfield Class 2 Certification Authority 的浏览器、应用程序和操作系统均信任 ACM 证书。

您可以使用亚马逊云科技管理控制台、Amazon CLI 或 ACM API/SDK。要使用亚马逊云科技管理控制台，请导航至“证书管理”，依次选择“请求证书”、“请求公有证书”，输入站点的域名，然后按照屏幕上的说明完成请求。如果用户可以通过其他名称访问您的站点，则可以在请求中添加其他域名。在 ACM 可以颁发证书之前，它会验证您对证书请求中的域名的所有权或控制权。请求证书时，您可以选择 DNS 验证或电子邮件验证。使用 DNS 验证，您可以将记录写入域的公有 DNS 配置，以建立您对域的所有权或控制权。在您使用一次 DNS 验证来建立对域的控制权之后，只要记录依然存在并且证书仍在使用中，您就可以获得其他证书，并让 ACM 续订域的现有证书。您无需重新验证域的控制权。如果您选择电子邮件验证而不是 DNS 验证，则系统会将电子邮件发送给请求批准颁发证书的域拥有者。在验证了您对请求中的每个域名拥有所有权或控制权后，系统将颁发证书并准备好为其他亚马逊云科技服务（如弹性负载均衡器）预置证书。有关详细信息，请参阅 ACM 文档。

您可以选择颁发可导出公钥证书，以与集成服务结合使用，也可导出用于任何需要 TLS 证书的工作负载。这些工作负载可以在亚马逊云科技内部（例如在 EC2 上运行的服务器），也可以在亚马逊云科技外部（例如本地服务器）。

可以。借助 DNS 证书颁发机构授权（CAA）记录，域所有者可以指定哪些证书颁发机构有权为他们的域颁发证书。在您请求 ACM 证书时，Amazon Certificate Manager 会在您域中 DNS 区域配置内查找 CAA 记录。如果找不到 CAA 记录，那么 Amazon 将为您的域颁发一个证书。大多数客户都属于这一类。

如果您的 DNS 配置中含有 CAA 记录，则该记录必须指定以下任一证书颁发机构（CA），Amazon 才能为您的域颁发证书：amazon.com、amazontrust.com、awstrust.com 或 amazonaws.com。请参阅《Amazon Certificate Manager 用户指南》中的配置 CAA 记录或排查 CAA 问题，了解更多信息。

DNS 别名记录由两部分组成：名称和标签。ACM 生成的别名记录名称组件由后跟令牌的下划线字符（_）组成。该令牌是您的亚马逊云科技账户与域名相关联的唯一字符串。ACM 在您的域名前添加下划线和令牌，从而构成名称组件。ACM 将带下划线字符的标签添加到另一个令牌前。该令牌同样与您的亚马逊云科技账户和域名相关联。ACM 将下划线和令牌添加到亚马逊云科技用于验证的 DNS 域名前：acm-validations.aws。以下示例显示了用于 www.example.com、subdomain.example.com 和 *.example.com 的别名记录的格式。

_TOKEN1.www.example.com         别名记录     _TOKEN2.acm-validations.aws
_TOKEN3.subdomain.example.com 别名记录     _TOKEN4.acm-validations.aws
_TOKEN5.example.com                 别名记录      _TOKEN6.acm-validations.aws

请注意，ACM 在为通配符名称生成别名记录时将会删除通配符标签（*）。因此，ACM 为通配符名称（如 *.example.com）生成的别名记录与不含通配符标签（example.com）域名的返回记录相同。

当您使用电子邮件验证方法请求证书时，会对证书请求中的每个域名执行 WHOIS 查询，以检索该域的联系信息。将向域注册人、管理联系人和负责该域的技术联系人发送电子邮件。还将向五个特定电子邮件地址发送电子邮件，即以 admin@、administrator@、hostmaster@、webmaster@ 和 postmaster@ 名称开头，加上您正在申请的域名所组成的电子邮件地址。例如，如果您为 server.example.com 申请证书，则将使用 WHOIS 查询为 example.com 域所返回的信息向域注册人、技术联系人和管理联系人，以及 admin@server.example.com, administrator@server.example.com、hostmaster@server.example.com、postmaster@server.example.com 和 webmaster@server.example.com 发送电子邮件。

对以“www”开头的域名或以星号（*）开头的通配符名称，这五个特殊的电子邮件地址的结构均不相同。ACM 会删除开头的“www”或星号，电子邮件将发送至以 admin@、administrator@、hostmaster@、postmaster@ 和 webmaster@ 开头，加上域名其余部分所构成的电子邮件地址。例如，如前所述，如果您为 www.example.com 申请证书，则电子邮件会发送至 WHOIS 联系人及 admin@example.com，而不会发送至 admin@example.com。其余四个特殊电子邮件地址的结构与上述结构类似。

在请求证书后，您可以使用 ACM 控制台、Amazon CLI 或 API 显示为每个域发送邮件的目标电子邮件地址列表。

公有证书

ACM 可以续订和部署公有 ACM 证书，无需域拥有者进行其他验证。如果不进行其他验证就无法完成证书续订，那么 ACM 将通过验证证书中每个域名的拥有权或控制权来管理续订流程。对证书中每个域名完成验证后，ACM 将续订证书，并自动将其部署到您的亚马逊云科技资源中。如果 ACM 无法验证域所有权，我们将通知您（亚马逊云科技账户所有者）相关情况。如果您在证书请求中选择了 DNS 验证，只要证书仍处于使用状态（与其他亚马逊云科技资源相关联），且您的别名记录仍然存在，ACM 则可以无限期续订您的证书，无需您执行任何进一步操作。如果您在请求证书时选择了电子邮件验证，即可通过确保证书仍在使用中、证书中包含的所有域名均可以解析到您的网站，且所有域名均可通过互联网访问，以此提高 ACM 自动更新和部署 ACM 证书的能力。

如果您在公有证书的证书请求中选择了 DNS 验证，只要证书仍处于使用状态（与其他亚马逊云科技资源相关联），且您的别名记录仍然存在，ACM 则可以续订您的证书，无需您执行任何进一步操作。

如果您在请求具有裸域的公有证书时选择了电子邮件验证，请确保裸域的 DNS 查找解析到与证书相关的亚马逊云科技资源。除非您使用支持别名资源记录（或其等效记录）的 DNS 提供程序将裸域映射到亚马逊云科技资源，否则将裸域解析到亚马逊云科技资源可能会有一定的难度。