AWS Certificate Manager - 如何为内部 ALB 创建公有证书？答案

【问题标题】：AWS Certificate Manager - How to create public certificate for internal ALB?AWS Certificate Manager - 如何为内部 ALB 创建公有证书？
【发布时间】：2021-08-02 16:53:09
【问题描述】：

我不想使用私有 CA 并创建私有证书。是否可以使用 ACM 为内部（不面向互联网）ALB 创建公共证书？如果是，那么如何创建它？根据下面的 ACM FAQ 看起来应该是可能的，但我无法弄清楚如何创建它？

问：我可以在没有公共互联网访问权限的情况下将公共证书用于内部 Elastic Load Balancing 负载均衡器吗？

可以，但您也可以考虑使用 ACM Private CA 来颁发 ACM 无需验证即可续订的私有证书。有关 ACM 如何处理无法从 Internet 访问的公共证书和私有证书的续订的详细信息，请参阅托管续订和部署。

【问题讨论】：

标签： amazon-web-services ssl aws-acm

【解决方案1】：

您必须将 Route53 专用区域添加到与证书的域名匹配的 VPC，并且 ALIAS 记录指向与 SSL 证书中的 FQDN 匹配的负载均衡器。到内部负载均衡器的所有连接都必须使用该域名，负载均衡器才能提供证书。

【讨论】：

我创建了私有区域“services.company.local”，并在指向 ALB 的路由 53“A.services.company.local”中创建了一条 A 记录。现在，当我尝试从 ACM 创建公共证书时（对于域名值，我尝试了 services.company.local 和 A.services.company.local），dns 验证失败并显示“此证书请求的状态为“失败”。一个或多个域名都不是有效的公共域。”
您的问题是关于在私有负载均衡器上使用“公共证书”。您需要为您拥有的域创建证书，并且该证书必须是您在私有区域中使用的域名。