如果我使用 Cloudfront 坐在 Web 服务器前面，而该服务器本身位于 ELB 后面，以下是否适用？
我使用 Route53 为 CF 域创建域名记录，并将 SSL 证书应用于该域以保护分发
如果 CF 无法从缓存中提供内容，则 SSL 连接将转发到 ELB（将网络服务器作为源服务器）
因此我还需要在 ELB 上使用相同的域名 (FQDN)（通过 Route53 CNAME）并在那里应用相同的证书？
当 CF 通过 ELB 转发请求时，SSL 被终止 那正确吗 ？一个 FQDN 证书是否足以或更好地使用通配符？改用源站域名更好吗？
由于我现在可以使用新的 AWS 证书管理器工具 (ACM) 添加这些证书，有谁知道如果使用 ACM（这使得 CF 成为一项昂贵的 AWS 服务），CF 是否仍需要使用自定义 SSL 证书的成本？
【问题讨论】：
标签： amazon-web-services amazon-cloudfront amazon-elb
如果 CF 无法从缓存中提供内容，则 SSL 连接将转发到 ELB（将网络服务器作为源服务器）
SSL 连接未“转发”。 CloudFront 和 ELB 之间建立了新的 SSL 连接。
用户和 CloudFront 之间的 SSL 连接与 CloudFront 和 ELB 之间的连接完全不同。因此，ELB 和 CloudFront 上使用的域名没有匹配要求。
因此我还需要在 ELB 上使用相同的域名 (FQDN)（通过 Route53 CNAME）并在那里应用相同的证书？
唯一的限制是 ELB 上的 SSL 证书必须与 ELB 上使用的域名匹配。它可以是与 CloudFront 上使用的不同的 SSL 证书和域名。
如果您想使用“自定义 SSL”功能并支持“所有客户端”，而不仅仅是支持 SNI 的那些，那么是的，您仍然必须支付额外费用，即使您正在使用 ACM。
示例 1
您可以为 www.domain.com 和 origin.domain.com 创建 Route 53 记录，并为 *.domain.com 创建 SSL 证书。根据这些，您可以将 www.domain.com 分配给 CloudFront 分配，将 origin.domain.com 分配给您的 ELB，并在两者上使用通配符证书。
示例 2
您可以为 www.domain.com 和 origin.domain.com 创建 Route 53 记录，并为 www.domain.com 和 origin.domain.com 分别创建 SSL 证书。通过这些，您可以使用 www.domain.com 证书将 www.domain.com 分配给 CloudFront 分配，并使用 origin.domain.com 证书将 origin.domain.com 分配给您的 ELB。
示例 3
您可以为 www.domain1.com 和 origin.domain2.com 创建 Route 53 记录，并为 www.domain2.com 和 origin.domain2.com 分别创建 SSL 证书。根据这些，您可以使用 www.domain2.com 证书将 www.domain2.com 分配给 CloudFront 分配，并使用 origin.domain2.com 证书将 origin.domain2.com 分配给您的 ELB。
【讨论】：