Nginx反向代理到具有SSL的ALB？

Question

我有一个Nginx，可以代理到AWS Application Load Balancer（ALB）的流量。

我正在运行多个域，一些域将RECORD指向Nginx代理，而某些域将CNAME直接指向ALB。

如何为使用代理的域以及ALB上的域设置SSL（LetsEncrypt）？

我不确定是否将ssl证书放在代理，alb或两者上。