什么是 AWS Certificate Manager？

AWS Certificate Manager (ACM) 这项服务可帮助您轻松地预置、管理和部署公有和私有安全套接字层/传输层安全性（SSL/TLS）证书，以便用于 AWS 产品和您的内部互联资源。SSL/TLS 证书用于保护网络通信的安全，并确认网站在 Internet 上的身份以及资源在私有网络上的身份。使用 ACM，您无需再为购买、上传和更新 SSL/TLS 证书而经历耗时的手动流程。利用 AWS Certificate Manager，您可以快速请求证书，在 AWS 资源（如 Elastic Load Balancer、Amazon CloudFront 分配和 API Gateway 上的 API）上部署该证书，并让 ACM 处理证书续订事宜。它还让您能够为内部资源创建私有证书并集中管理证书生命周期。通过 ACM 预置的专用于 ACM 集成服务（例如 Elastic Load Balancing、Amazon CloudFront 和 Amazon API Gateway）的公有和私有 SSL/TLS 证书均免费。您需要为您创建的用于运行应用程序的 AWS 资源付费。您需要按月支付每个 CA 的操作费用，直至您将其删除，并为您颁发的并非专用于 ACM 集成服务的私有证书付费。

什么是 SSL/TLS 证书？

SSL/TLS 证书使 Web 浏览器能够标识使用安全套接字层/传输层安全性 (SSL/TLS) 协议的网站并与之建立加密的网络连接。证书在名为公有密钥基础设施 (PKI) 的加密系统中使用。通过 PKI，在双方都信任同一个第三方（称为证书颁发机构）的情况下，一方可以确认使用证书的另一方的身份。您可以访问 ACM 用户指南中的概念主题，了解更多背景信息和定义。

什么是私有证书？

私有证书可以识别和保护组织内的应用程序、服务、设备和用户等资源。在建立安全的加密通信通道时，每个终端节点都使用证书和加密技术向另一终端节点证明其身份。内部 API 终端节点、Web 服务器、VPN 用户、物联网设备以及许多其他应用程序都使用私有证书来建立其安全操作所需的加密通信通道。

公有证书和私有证书有什么区别？

公有证书和私有证书都可以帮助客户识别网络上的资源，并确保这些资源之间的通信安全。公有证书用于识别公共 Internet 上的资源，私有证书用于识别私有网络上的资源。其主要区别在于，应用程序和浏览器默认自动信任公有证书，而管理员必须显式配置应用程序以信任私有证书。公有 CA（颁发公有证书的实体）必须遵守严格的规则、提供操作可见性，并遵循浏览器和操作系统供应商规定的安全标准，这些标准决定他们的浏览器和操作系统自动信任哪些 CA。Private CA 由私有组织管理，Private CA 管理员可以制定自己的私有证书颁发规则，包括颁发证书的实践以及证书可以包含的信息。

使用 AWS Certificate Manager (ACM) 有哪些优势？

借助 ACM，您可以更加轻松地为 AWS 平台上的网站或应用程序启用 SSL/TLS。使用 ACM，您无需经历过去与使用和管理 SSL/TLS 证书相关的大量手动流程。ACM 还可管理证书续订，从而帮助您避免因证书配置错误、撤销或过期而导致的停机。您可获得 SSL/TLS 保护并轻松管理证书。为面向 Internet 的站点启用 SSL/TLS 有助于提高站点的搜索排名，并帮助您满足加密动态数据的合规性要求。当您使用 ACM 管理证书时，它会应用强加密和密钥管理最佳实践来确保证书私有密钥得到安全保护和存储。通过 ACM，您可以使用 AWS 管理控制台、AWS CLI 或 ACM API 来集中管理 AWS 区域中 ACM 提供的所有 SSL/TLS 证书。ACM 与其他 AWS 产品集成，因此您可以请求 SSL/TLS 证书，然后通过 AWS 管理控制台、AWS CLI 命令或 API 调用为 Elastic Load Balancing 负载均衡器或 Amazon CloudFront 分配预置证书。

我可以使用 ACM 管理哪些类型的证书？

使用 ACM，您可以管理公有证书和私有证书的生命周期。ACM 的功能取决于证书是公有还是私有、您如何获得证书，以及在何处部署证书。公有证书 - 您可以在 ACM 中请求 Amazon 颁发的公有证书。ACM 管理用于 ACM 集成服务（包括 Amazon CloudFront、Elastic Load Balancing 和 Amazon API Gateway）的公有证书的续订和部署。私有证书 - 您可以选择将私有证书管理委托给 ACM。使用这种方式时，ACM 会自动续订和部署用于 ACM 集成服务（包括 Amazon CloudFront、Elastic Load Balancing 和 Amazon API Gateway）的私有证书。您可以使用 AWS 管理控制台、API 和命令行界面 (CLI) 轻松部署这些私有证书。您可以从 ACM 中导出私有证书，将其用于 EC2 实例、容器、本地服务器和物联网设备。AWS 私有 CA 会自动续订这些证书，并在续订完成时发送 Amazon CloudWatch 通知。您可以编写客户端代码以下载续订的证书和私有密钥，以便和应用程序一起部署它们。导入证书 – 如果想将第三方证书与 Amazon CloudFront、Elastic Load Balancing 或 Amazon API Gateway 配合使用，您可以使用 AWS 管理控制台、AWS CLI 或 ACM API 将该证书导入 ACM。ACM 无法续订导入的证书，但它可以帮助您管理续订过程。您负责监控所导入证书的到期日期，并在到期之前续订。您可以使用 ACM CloudWatch 指标监控已导入证书的到期日期，并导入新的第三方证书来替换即将到期的证书。

如何开始使用 ACM？

要开始使用 ACM，请导航到 AWS 管理控制台中的“证书管理”，然后使用向导请求 SSL/TLS 证书。如果已经创建了 Private CA，您可以选择需要公有证书还是私有证书，然后输入您的站点名称。您也可以使用 AWS CLI 或 API 请求证书。证书颁发后，您可以将其用于与 ACM 集成的“其他 AWS 产品”。对于每项集成的服务，您只需从 AWS 管理控制台的下拉列表中选择您要部署的 SSL/TLS 证书即可。或者，您也可以执行一个 AWS CLI 命令或调用一个 AWS API，将该证书与您的资源关联起来。集成的服务随后会将该证书部署到您选择的资源。有关请求和使用 ACM 提供的证书的更多信息，请在 ACM 用户指南中进行深入了解。除了将私有证书用于 ACM 集成服务之外，您还可以在 EC2 实例、ECS 容器或任何位置导出私有证书以供使用。

我可以将 ACM 证书用于哪些 AWS 产品？

• Elastic Load Balancing – 请参阅 Elastic Load Balancing 文档 • Amazon CloudFront – 请参阅 CloudFront 文档 • Amazon API Gateway – 请参阅 API Gateway 文档 • AWS CloudFormation – 目前仅支持 ACM 颁发的公有和私有证书。请参阅 AWS CloudFormation 文档 • AWS Elastic Beanstalk – 请参阅 AWS Elastic Beanstalk 文档 • AWS Nitro Enclaves – 请参阅 AWS Nitro Enclaves 文档

ACM 在哪些区域提供？

请访问 AWS 全球基础设施页面，了解目前提供 AWS 产品的区域。要将 ACM 证书与 Amazon CloudFront 配合使用，您必须在美国东部（弗吉尼亚北部）区域请求或导入该证书。该区域内与 CloudFront 分配关联的 ACM 证书将被分发到为该分配配置的所有地理位置。

ACM 管理哪些类型的证书？

ACM 管理公有证书、私有证书和导入证书。在颁发和管理证书文档中了解有关 ACM 功能的更多信息。

ACM 是否可以提供包括多个域名的证书？

符合。每个证书必须包括至少一个域名，并且您可以根据需要在证书中添加更多域名。例如，您可以将域名“www.example.net”添加到用于“www.example.com”的证书，前提是用户通过这两个域名都可以访问您的站点。对于证书请求中包括的所有名称，您必须具有所有权和控制权。

什么是通配符域名？

通配符域名匹配域中的所有第一级子域或主机名。第一级子域是一个不包含句号（圆点）的域名标签。例如，您可以使用名称“*.example.com”保护 www.example.com、images.example.com 以及以 .example.com 结尾的任何其他主机名或第一级子域。在 ACM 用户指南中了解更多信息。

ACM 证书的有效期是多长？

通过 ACM 颁发的证书有效期为 13 个月（395 天）。如果您直接通过 Private CA 颁发私有证书并自行管理密钥和证书，而不是使用 ACM 进行证书管理，则可以选择任何有效期，包括绝对结束日期或相对时间（即自当前时间开始计算的天数、月数或年数）。

ACM 颁发的证书使用什么算法？

默认情况下，ACM 中颁发的证书使用的是采用 2048 位模数和 SHA-256 的 RSA 密钥。此外，您可以使用 P-256 或 P-384 请求椭圆曲线数字签名算法（ECDSA）证书。在 ACM 用户指南中了解有关算法的更多信息。

如何吊销证书？

您可以通过访问 AWS Support 中心并创建一个问题来请求 ACM 吊销公有证书。要吊销由您的 AWS 私有 CA 颁发的私有证书，请参阅 AWS 私有 CA 用户指南。

是否可以在多个 AWS 区域中使用同一个 ACM 证书？

不可以。ACM 证书必须与使用它们的资源位于同一区域。唯一的例外是 Amazon CloudFront，这是一项需要美国东部（弗吉尼亚州北部）地区证书的全球服务。该区域内与 CloudFront 分配关联的 ACM 证书将被分发到为该分配配置的所有地理位置。

我是否可以在 Amazon EC2 实例或自己的服务器上使用证书？

您可以将 Private CA 颁发的私有证书用于 EC2 实例、容器和您自己的服务器。目前，公有 ACM 证书仅可用于特定 AWS 服务，包括 AWS Nitro Enclaves。请参阅 ACM 服务集成。

ACM 是否允许域名（也称为国际化域名 [IDN]）中包含本地语言字符？

ACM 不支持采用 Unicode 编码的本地语言字符；不过，ACM 支持域名使用 ASCII 编码的本地语言字符。

ACM 支持哪些域名标签格式？

ACM 仅支持采用 UTF-8 编码的 ASCII 字符，包括包含“xn-”的标签（通常称为域名的 Punycode）。ACM 不支持域名中使用 Unicode 输入 (Unicode 标签)。

是否可以导入第三方证书并将其用于 AWS 产品？

符合。如果想要将第三方证书与 Amazon CloudFront、Elastic Load Balancing 或 Amazon API Gateway 配合使用，您可以使用 AWS 管理控制台、AWS CLI 或 ACM API 将该证书导入 ACM。ACM 不会处理已导入证书的续订过程。您可以使用 AWS 管理控制台监控已导入证书的到期日期，并导入新的第三方证书来替换即将到期的证书。

什么是公有证书？

公有证书和私有证书都可以帮助客户识别网络上的资源，并确保这些资源之间的通信安全。公有证书用于识别 Internet 上的资源。

ACM 提供哪些类型的公有证书？

ACM 提供域验证 (DV) 公有证书，供终止 SSL/TLS 的网站和应用程序使用。有关 ACM 证书的更多详细信息，请参阅证书特征。

ACM 公有证书是否受浏览器、操作系统和移动设备信任？

ACM 公有证书受大多数现代浏览器、操作系统和移动设备信任。ACM 提供的证书在浏览器和操作系统（包括 Windows XP SP3 和 Java 6 及更高版本）中的普及率高达 99%。

如何确认我的浏览器信任 ACM 公有证书？

一些信任 ACM 证书的浏览器会显示一个锁形图标，并且在连接到基于 SSL/TLS 使用 ACM 证书（例如使用 HTTPS）的站点时不会发出证书警告。公有 ACM 证书由 Amazon 证书颁发机构 (CA) 验证。任何包含 Amazon Root CA 1、Amazon Root CA 2、Amazon Root CA 3、Amazon Root CA 4、Starfield Services Root Certificate Authority - G2 的浏览器、应用程序和操作系统均信任 ACM 证书。有关根 CA 的更多信息，请访问 Amazon Trust Services 存储库。

Amazon 在哪里介绍关于颁发公有证书的策略和规范？

“Amazon Trust Services 证书策略”和“Amazon Trust Services 证书规范声明”文档中提供了相关信息。有关最新版本，请参阅 Amazon Trust Services 存储库。

用于 www.example.com 的证书是否也能用于 example.com？

否。如果您希望自己的站点能够被两个域名（www.example.com 和 example.com）引用，则必须请求包含这两个名称的证书。

ACM 如何帮助我的组织满足合规性要求？

使用 ACM 可以轻松确保连接的安全性（这也是 PCI、FedRAMP 以及 HIPAA 等众多合规性计划的共同要求），从而帮助您满足法规要求。有关合规性的具体信息，请参阅 http://aws.amazon.com/compliance。

ACM 是否会提供一个可以在我的网站上显示的安全站点签章或信任徽标？

否。如果您想使用站点签章，您可以从第三方供应商处获得。我们建议选择可评估和维护您站点和/或业务实践的安全性的供应商。

Amazon 是否允许将其商标或徽标用作证书徽章、站点签章或信任徽标？

否。此类签章和徽章可复制到不使用 ACM 服务的站点，但不能假借亚马逊名号建立信任。为保护我们的客户和亚马逊的声誉，我们不允许以这种方式使用我们的徽标。

如何预置 ACM 提供的公有证书？

您可以使用 AWS 管理控制台、AWS CLI 或 ACM API/开发工具包进行预置。要使用 AWS 管理控制台，请导航至“证书管理”，依次选择“请求证书”、“请求公有证书”，输入站点的域名，然后按照屏幕上的说明完成请求。如果用户可以通过其他名称访问您的站点，则可以在请求中添加其他域名。在 ACM 可以颁发证书之前，它会验证您对证书请求中的域名的所有权或控制权。在请求证书时，您可以选择 DNS 验证或电子邮件验证。使用 DNS 验证，您可以将记录写入域的公有 DNS 配置，以建立您对域的所有权或控制权。在您使用一次 DNS 验证来建立对域的控制权之后，只要记录依然存在并且证书仍在使用中，您就可以获得其他证书，并让 ACM 更新域的现有证书。您无需重新验证域的控制权。如果您选择电子邮件验证而不是 DNS 验证，则系统会将电子邮件发送给请求批准颁发证书的域所有者。在验证了您对请求中的每个域名拥有所有权或控制权后，系统将颁发证书并准备好预置证书以用于其他 AWS 产品，如 Elastic Load Balancing 或 Amazon CloudFront。有关详细信息，请参阅 ACM 文档。

ACM 为何要验证公有证书的域所有权？

各类证书用于建立您站点的身份，并确保浏览器和应用程序与您的站点之间安全连接。要颁发公开可信的证书，Amazon 必须验证证书请求者是否拥有对证书请求中域名的控制权。

在为域颁发公有证书之前，ACM 如何验证域所有权？

在颁发证书之前，ACM 会验证您对证书请求中域名的所有权或控制权。在请求证书时，您可以选择 DNS 验证或电子邮件验证。使用 DNS 验证，您可以通过将 CNAME 记录添加到 DNS 配置来验证域所有权。请参阅 DNS 验证，了解更多详细信息。如果您无法将记录写入域的公有 DNS 配置，则可以使用电子邮件验证而不是 DNS 验证。使用电子邮件验证，ACM 会给已注册的域所有者发送电子邮件，并且所有者或授权代表可以批准为证书请求中的每个域名颁发证书。请参阅电子邮件验证，了解更多详细信息。

我的公有证书应该使用哪种验证方法：DNS 还是电子邮件？

如果您能够更改域的 DNS 配置，我们建议使用 DNS 验证。无法接收来自 ACM 的验证电子邮件的客户，以及使用的域注册商没有在 WHOIS 中发布域所有者电子邮件联系信息的客户应使用 DNS 验证。如果您无法修改 DNS 配置，则应使用电子邮件验证。

是否可以将现有的公有证书从电子邮件验证转换为 DNS 验证？

不可以。但是您可以向 ACM 申请一个新的免费证书，然后为新证书选择 DNS 验证。

颁发公有证书需要多长时间？

证书请求中的所有域名都经过验证后，颁发证书的时间可能会持续几个小时或更久。

请求公有证书时会发生什么情况？

ACM 将根据您在提出请求时选择的验证方法（DNS 或电子邮件），尝试验证证书请求中每个域名的所有权或控制权。当 ACM 尝试验证您对域的所有权或控制权时，证书请求的状态为“等待验证”。请参阅下面的 DNS 验证和电子邮件验证部分，了解有关验证过程的更多信息。证书请求中的所有域名都经过验证后，颁发证书的时间可能会持续几个小时或更久。证书颁发后，证书请求的状态将变为“已颁发”，您可以将证书用于其他与 ACM 集成的 AWS 产品。

在颁发公有证书之前，ACM 是否会检查 DNS 证书颁发机构授权（CAA）记录？

符合。借助 DNS 证书颁发机构授权 (CAA) 记录，域所有者可以指定哪些证书颁发机构有权为他们的域颁发证书。在您申请 ACM 证书时，AWS Certificate Manager 会查看您域中 DNS 区域配置内的 CAA 记录。如果没有 CAA 记录，那么 Amazon 将为您的域颁发一个证书。大多数客户都属于这一类。如果您的 DNS 配置中含有 CAA 记录，则该记录必须指定以下任一证书颁发机构 (CA)，Amazon 才能为您的域颁发证书：amazon.com、amazontrust.com、awstrust.com 或 amazonaws.com。请参阅《AWS Certificate Manager 用户指南》中的配置 CAA 记录或排查 CAA 问题，了解更多信息。

什么是 DNS 验证？

使用 DNS 验证，您可以通过将 CNAME 记录添加到 DNS 配置来验证您对域的所有权。使用 DNS 验证，在向 ACM 申请公有 SSL/TLS 证书时，您可以轻松建立对域的所有权。

DNS 验证有哪些优势？

使用 DNS 验证，可以轻松验证您对域的所有权或控制权，以便可以获得 SSL/TLS 证书。使用 DNS 验证，您只需将 CNAME 记录写入 DNS 配置，即可建立对域名的控制。为了简化 DNS 验证流程，在您使用 Amazon Route 53 管理 DNS 记录的情况下，ACM 管理控制台可以为您配置 DNS 记录。这样，通过单击几次鼠标即可轻松建立对域名的控制。配置 CNAME 记录后，只要 DNS 验证记录依然存在，ACM 就会自动更新正在使用的证书（与其他 AWS 资源相关联）。更新是完全自动和非接触式的。

哪些人应该使用 DNS 验证？

任何通过 ACM 请求证书并能够更改所请求域的 DNS 配置的人都应考虑使用 DNS 验证。

ACM 是否仍然支持电子邮件验证？

符合。对于无法更改自己的 DNS 配置的客户，ACM 会继续支持电子邮件验证。

我需要将哪些记录添加到 DNS 配置中才能验证域？

您必须为要验证的域添加 CNAME 记录。例如，要验证名称 www.example.com，您可以向 example.com 的区域添加 CNAME 记录。您添加的记录包含一个随机令牌，该令牌是 ACM 专门为您的域和 AWS 账户生成的。您可以从 ACM 获取 CNAME 记录的两个部分（名称和标签）。有关更多信息，请参阅 ACM 用户指南。

安全性、身份与合规性›
AWS Certificate Manager›
常见问题

AWS Certificate Manager 常见问题

后续步骤

AWS 解决方案

详细了解 ACM Private Certificate Authority

访问页面

Console

在 AWS 管理控制台中，使用 AWS Certificate Manager 开始构建

开始在控制台中构建

AWS Certificate Manager 常见问题

页面主题

后续步骤

详细了解 ACM Private Certificate Authority

在 AWS 管理控制台中，使用 AWS Certificate Manager 开始构建

终止对 Internet Explorer 的支持