AWS ACM 通配符 ssl 证书不适用于域答案

【问题标题】：AWS ACM wildcard ssl certificate not working on domainAWS ACM 通配符 ssl 证书不适用于域
【发布时间】：2016-09-27 22:56:09
【问题描述】：

我使用 Amazon Certificate Manager 为我的网站创建了 SSL 证书。该证书适用于 *.example.com。然后我将此证书附加到我的 ELB，并将实例协议保留为 http。所以 SSL 链只在客户端和 ELB 之间。我在 Route53 中有两条 A 记录。一个用于 example.com，一个用于 www.example.com。这两个都是ELB的别名。当我做https://www.example.com 时，它完美无缺。但是当我执行 https://example.com 时，我在 FireFox 中收到以下错误：

"example.com 使用了无效的安全证书。该证书仅对 *.example.com 有效错误代码：SSL_ERROR_BAD_CERT_DOMAIN"

证书 *.example.com 不应该适用于地址 example.com 吗？我错过了什么吗？

2016 年 5 月 31 日编辑

感谢 Steffen Ullrich 让我走上正轨。问题是在控制台（Web 浏览器）中使用 AWS Certificate Manager (ACM) 时，没有添加替代名称的选项。对于那些有同样问题的人，您需要使用 CLI（命令行界面）。在网络上快速搜索“安装 AWS CLI”将为您提供完成安装所需的所有信息。安装 CLI 后，您可以运行 ACM 命令。这是文档的链接：

http://docs.aws.amazon.com/cli/latest/reference/acm/request-certificate.html

我使用的命令是：

aws acm request-certificate --domain-name www.example.com --subject-alternative-names example.com

请求获得批准后，我就可以在 ACM Web 界面中看到 SSL 证书。我安装了它，现在一切正常！

【问题讨论】：

现在这可以在控制台本身完成。申请新证书时使用“向此证书添加另一个名称”选项。

标签： amazon-web-services ssl amazon-elb aws-certificate-manager

【解决方案1】：

通过控制台申请新证书时，您现在可以同时添加 *.domain.com 和 www.domain.com，在点击下一步之前，在下一个框中，确保您申请向证书添加另一个域。

【讨论】：

【解决方案2】：

*.example.com 的证书与 whatever.example.com 匹配，但仅与 example.com 不匹配。这是因为* 必须与标签匹配，而example.com 没有标签代替*。如果您想同时匹配whatever.example.com 和example.com，您需要创建一个证书，其中包含*.example.com 和example.com 作为主题备用名称。

【讨论】：

我的证书域名为 *.tilt45.in，附加名称为tilt45.in 和 www.tilt45.in。当我尝试访问tilt45.in 或www.tilt45.in 时，我没有root->index.html，但是当我使用api.tilt45.in 时，我可以访问index.html。我有 api.tilt45.in 的记录。当我尝试为tilt45.in 创建类似记录时，我收到记录已存在的错误消息。
@DarshanPuranik：cmets 不适合提出新问题。请提出一个新问题，其中包含所有必要的详细信息以及所有人都可以看到的地方。
@SteffenUllrich 嗨，很抱歉两年后碰到这个问题。我使用example.com 和*.example.com 提供了一个SSL 证书。这适用于我的子域，如果我在 Route53 中设置它，以前总是适用于 www.subdomain.example.com。最近，我们的 SSL 证书不再适用于 www.subdomain，即使像我们以往那样设置也是如此。您知道 AWS 方面是否有任何变化？我们肯定已经在 Route53/cloudfront 中使用 ACM SSL 证书设置了 30 个左右的项目，并且从未遇到过这个问题。
@StephenTetreault：我所描述的行为与 Route 53 没有任何关系，而是一般来说如何验证证书。我不知道 Route 53 或您在之前设置域时做了什么，但 *.example.com 的证书将不匹配 www.subdomain.example.com 过去没有这样做。为此，您需要 *.subdomain.example.com 的证书。