问题标签 [aws-acm]

我想为我在 AWS 上设置的 Kafka 集群设置双向 TLS。对于 mTLS，我可以使用自签名证书，也可以使用私有 CA 颁发证书。这是出于我自学目的的 POC，我想利用私有 CA。由于每月花费 400 美元而且我不打算花这笔钱，我可以使用私有 CA 一天并为我的集群签署所有证书，然后删除私有 CA。之后，我可以将证书用于我的集群吗？请指教。

作为我的基础架构的一部分，我需要从我自己的证书颁发机构将证书上传到 acm。使用该命令上传它可以aws acm import-certificate正常工作，此证书与已经存在的亚马逊颁发的证书之间的主要区别在于它没有域名字段的值。

当我想在 acm 中列出证书以检查我上传的证书是否存在时，问题就出现了。当我运行aws acm list-certificates我上传的证书时，结果中不存在。

从文档：

默认过滤仅返回具有至少一个域的 RSA_1024 和 RSA_2048 证书。

我的证书是 RSA_2048。因此，我认为当我使用aws acm list-certificates我上传的证书时，我上传的证书没有域名，因此被过滤掉了。

现在已经阅读了几次链接的文档页面，我看不到一种方法来配置过滤而不是在域名字段上进行过滤。

是否可以list-certificates在证书没有域名的情况下返回证书？

我惊讶地发现 AWS ACM 颁发的公共证书在使用 axios 和 node-fetch 时会触发错误“无法验证第一个证书”。但是，当我从命令行使用 curl 时，我没有收到错误消息。所以我的问题是：

1. 为什么节点会这样？Curl 似乎可以使用底层操作系统，它承认 AWS ACM 颁发的证书的 CA 权限；节点是否有自己的一组 CA 权限？

2. 如果不启用rejectUnauthorized配置中的选项，如何解决此问题httpsAgent？有没有办法通过例如使用操作系统的一组公认的 CA 权限来让节点表现得像 curl？AWS ACM 控制台中是否有一些设置可能使证书更适合 axios？

注意：我对配置 axios 以识别任何特定 CA 证书的解决方案不感兴趣（我想要一个通用的解决方案，使我能够 ping 多个我不一定控制的 AWS ACM 颁发的证书）。

编辑：我使用的是 OSX 11.3。

谢谢！

我想知道集成 AWS Certificate Manager (ACS) 和 AWS Managed AD 以对用户进行多因素身份验证的可能性；访问 AWS Workspaces 的用户通过安装在其 PC 中的托管 AD 和客户端认证使用 id/passwd 进行身份验证。

具体来说，考虑以下步骤。

1. 使用 ACS 颁发根证书和私有证书
2. 将根证书注册到托管 AD
3. 将客户端证书注册到客户端 PC
4. 客户端访问 Workspaces 服务时，需要验证 id/passwd 和客户端认证

我曾经尝试过集成托管 AD 和 openssl 颁发的证书，并且工作正常。这一次，为了降低运营成本，我正在考虑使用 ACS insted of openssl。

有没有人有在 AWS 环境中集成托管 AD 和 ACM 的经验？

干杯，

在 ACM 中，我总是必须注册 ACM 提供的 CNAME 记录。它说它使用此 CNAME 记录检查域所有权，但它实际上如何检查我在 ACM 中指定的域是否实际上归我所有？任何解释都会很棒！

我已申请公共 ACM 证书并选择了 DNS 验证方法。请求证书后，它进入待验证状态。我在 Route 53 中创建了一个托管区域，其域名与我用于证书的域名相同。创建证书后，我得到了“在 Route 53 中创建记录”选项。我已经使用 CNAME 在 Route 53 中创建了记录，它显示为“成功 DNS 记录已写入您的 Route 53 托管区域。传播更改以及 AWS 验证域和问题可能需要 30 分钟或更长时间证书。”。但是证书的状态没有改变，它仍然只是在等待验证。一段时间后，“在 Route 43 中创建记录”选项再次启用。我几乎一天尝试了多次相同的过程，但状态没有改变。有人可以帮忙解决这个问题。

我不想使用私有 CA 并创建私有证书。是否可以使用 ACM 为内部（不面向互联网）ALB 创建公共证书？如果是，那么如何创建它？根据下面的 ACM FAQ 看起来应该是可能的，但我无法弄清楚如何创建它？

问：我可以将公共证书用于没有公共 Internet 访问权限的内部 Elastic Load Balancing 负载均衡器吗？

可以，但您也可以考虑使用 ACM Private CA 来颁发 ACM 无需验证即可续订的私有证书。有关 ACM 如何处理无法从 Internet 访问的公共证书和私有证书的续订的详细信息，请参阅托管续订和部署。

我正在编写 terraform 脚本来自动为域提供 acm，我面临的问题是如何合并域和 subject_alternative_names，就像它应该从 domain_name 中选择第一个域并将其与 subject_alternative_name 中的第一个块合并并继续。

变量.tf

工作变量.tf

主文件

资源.tf

我已经在运行网站。由于某些问题，我必须终止 AWS 中的环境。终止后，我确实通过弹性豆重建并创建了新环境。我的网站又回来了。但我希望它再次转发到我与 godaddy 的实际域。我在新的负载均衡器中为 https 侦听器使用了现有的 acm 证书。但是仍然可以在 aws URL 上打开网站，但不能使用我的 godaddy 域。

您能否让我知道我是否需要更改在其他任何地方添加此证书？

我们使用 AWS Certificate Manager 创建了 SSL/TLS 证书。将该证书分配给 Application Load Balancer。我们通过在线 ssl 证书检查器https://www.digicert.com/help/检查了 URL，并在页面底部注意到“服务器未发送所需的中间证书”。有没有办法配置/使用 AWS Certificate Manager在该负载均衡器上包含中间证书