具有多个实例的Elastic Beanstalk上的SSL（EC2）

Question

我想将服务器证书添加到在Elastic Beanstalk中运行的EC2实例（使用NGINX）。如果可能的话，我有一些疑问......

我的动机： 我想在EC2实例上通过NGINX验证客户端证书，这些实例在Elastic Load Balancer后面运行。客户端证书来自AWS API Gateway，我想使用验证来限制对我的Elastic Beanstalk（EB）的访问。

正如我测试的那样（但我可能在这里错了），NGINX需要有服务器证书来验证客户证书：

listen 443 ssl;

ssl_certificate xxx;
ssl_certificate_key xxx;

ssl_client_certificate yyy;
ssl_verify_client on;

问题

1. 是否为特定域，子域或通配符子域生成服务器证书？
2. 是否可以在Load Balancer后面的私有IP的许多实例上使用相同的服务器证书？ （它们不直接绑定到域）

3. 或者也许可以在nginx上验证没有SSL的客户端证书？比如下面的NGINX配置片段：

   听443;

   ssl_client_certificate yyy; ssl_verify_client on;