AWS：CloudFront中禁用了自定义SSL证书选项，但我使用AWS Certificate Manager

Question

我正在为我的亚马逊S3静态网站创建SSL证书。我使用证书管理器为我的域创建了一个SSL证书，其状态为“已发布”。我正在创建CloudFront分配，但禁用了自定义SSL证书选项。

在我看到自定义SSL证书之前需要一些时间（一天或更长时间）吗？或者我做错了什么？

Answer 1

需要在ACM中与平衡器在同一区域中创建将与应用程序负载均衡器（ELB / 2.0）一起使用的证书。

将始终在us-east-1中创建将与CloudFront一起使用的证书。

  

要在Amazon CloudFront中使用ACM证书，您必须在美国东部（弗吉尼亚北部）地区申请或导入证书。此区域中与CloudFront分配相关联的ACM证书将分发到为该分发配置的所有地理位置。

     

- http://docs.aws.amazon.com/acm/latest/userguide/acm-regions.html

原因是CloudFront不遵循AWS中的区域边界模型。 CloudFront边缘位置遍布全球，但是在我们之外配置和管理 - 东 - 1 - 将其视为CloudFront的主页区域。一旦分发达到Deployed状态，它在操作上不依赖于us-east-1，但在配置期间，所有内容都来自该区域，因此这是CloudFront可以访问的唯一ACM区域。 / p>

Answer 2

我得到了确切的行为，但是在us-east-1正确导入了证书，并发现问题出在我的证书的密钥大小（4096位）上。

AWS CloudFront仅接受最大2048位的密钥，如此处所述：https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/cnames-and-https-requirements.html#https-requirements-size-of-public-key

  

公钥的大小

     

证书的公钥长度取决于您存储证书的位置。

     

将证书导入AWS Certificate Manager（ACM）：公钥长度必须为1024或2048位。即使ACM支持更大的密钥，您与CloudFront一起使用的证书的限制也是2048位。

     

将证书上传到AWS Identity and Access Management（IAM）证书存储：公共密钥的最大大小为2048位。

     

我们建议使用2048位。

Answer 3

更换证书时，请确保在“自定义SSL证书（example.com）”文本框中清除现有证书的名称。如果不清除它，则其他证书将无法选择。

Answer 4

在尝试创建 cloudFront 发行版时有同样的经历。我最初在 us-west-2 区域创建了证书，但复选框是灰色的。解决它的是在 us-east-1 区域创建证书。复选框立即变为可选。