AWS S3、CloudFront 和 SSL答案

【问题标题】：AWS S3, CloudFront and SSLAWS S3、CloudFront 和 SSL
【发布时间】：2017-07-24 15:37:08
【问题描述】：

我尝试使用 AWS S3 和 CloudFront 为我们的 Web 平台设置静态托管解决方案。需要使用https，需要通过自定义子域访问。

这是我的 S3 存储桶：

这些是 CloudFront 的设置：

证书设置在我看来没问题：

最后我的 DNS 记录是这样的： CNAME: "static" -> "d1fd407fp9coo4.cloudfront.net."

编辑：使用我默认的 DNS 域提供商，而不是 Route 53。

目的是通过 https 在 static.dmaglobal.com/logo-frontpage.png 上提供资源。在没有 (http://static.dmaglobal.com/logo-frontpage.png) 的情况下它可以正常加载，但是 https 版本 (https://static.dmaglobal.com/logo-frontpage.png) 给出了 SSL 错误，说明当前证书是针对 *.s3.eu-west-2.amazonaws.com 而不是 *.dmaglobal。 com。我不明白这种不匹配来自何处，因为当前证书似乎已为我们的自定义域正确设置。

任何人都可以就如何从这里着手解决这个问题提供一些指示？

【问题讨论】：

自您创建 CloudFront 分配以来已经有多久了？几周前我用相同的设置创建了一个，它一直重定向到 S3，而不是通过 CloudFront 提供文件（因此提供 S3 SSL 证书而不是您在 CloudFront 上配置的证书）。显然，这是新 CloudFront 发行版的一个已知问题，您需要等待几个小时才能开始正确地从 S3 提供文件。几个小时后，我的开始按预期工作。
Is 可能是在 2 小时前创建的，它需要一段时间才能准备好 - 它可能花了一个小时左右的时间，状态为“进行中”，然后才变为“就绪”
是的，我有同样的经历。我会再等几个小时让它开始提供文件而不是重定向到 S3。这是我遇到相同问题时浏览的 AWS 论坛帖子：forums.aws.amazon.com/message.jspa?messageID=677452 如果在几个小时内仍未解决，您可能需要向 AWS 支持开票。
我还注意到dnschecker.org/#CNAME/static.dmaglobal.com 仍然直接解析为 S3 存储桶 URL，而不是 CloudFront。我首先将域直接添加到 S3 存储桶，并且在我意识到我需要使用 CloudFront 通过 https 访问后不久才更改它。所以也许我只需要等到这种变化完全传播

标签： amazon-web-services ssl amazon-s3 https

【解决方案1】：

您已经注意到您的 DNS 记录仍解析为 S3。

您应该为 Cloudfront 分发创建一个别名记录，而不是 CNAME。在静态记录中选择 A 类型记录，为 Alias 选中 Yes，然后在下拉列表中选择 Cloudfront 分布。

原因：ALIAS 记录是免费的，而且解析速度更快。

【讨论】：

OP 没有说他使用 Route53 作为 DNS。 CNAME 记录应该可以正常工作。根据 TTL 传播更改可能需要更长的时间，但仅此而已。不知道您为什么声明 Alias 记录是免费的。您为 Route53 中的托管区域付费。您无需为该托管区域中的任何记录支付任何额外费用，无论它们是什么记录类型。
当别名指向服务目标（S3、CloudFront、ELB）时，针对 Route 53 别名记录的@MarkB 查询是免费的，否则它们是可计费的。
为了清楚起见，在这种情况下我没有使用 Route 53。一旦传播了正确的 CNAME 值，我将发布有关此问题的更新
是的，如果使用 Route53 和 Alias，您只需为托管区域支付 0.5 美元，但对于其他类型的记录，您需要为每次查询支付费用，如果您收到数百万的流量，这可能是一笔高昂的费用。我忽略了一些客户可能仍在使用本地 DNS 解决方案这一事实。

【解决方案2】：

回答我自己的问题：最后，正确的 CNAME 值尚未正确传播（因为在我意识到 SSL 需要 CloudFront 之前，它最初指向 S3）。只要它是，OP中的设置就可以完美地工作。

【讨论】：