AWS CloudFront SSL插件使用文档

该部署方式提供在亚马逊云科技中国区域自动生成、更新和下载SSL证书的解决方案，支持与Amazon CloudFront集成和自动更新，要求使用Amazon Route 53解析域名。

用途

​ 该部署方式可以帮助您在亚马逊云科技中国区域生成、更新和下载SSL证书(DV、OV、EV)，并支持与 Amazon CloudFront 的集成及关联 SSL 证书的自动更新。使用该方式部署SSL证书的前置条件为使用Amazon Route 53 解析您的域名。如果你想将域名解析迁移至Amazon Route 53，请参考域名解析迁移教程。

---

说明

​ 该方案是基于AWS China CloudFront SSL 插件进行定制化开发，方案架构图如下所示：

• Certbot 是一款免费的开源ACME客户端工具，可自动化的获取、部署和更新 SSL 证书。

• Lambda is 用于 Certbot 及 、 以及 。

• Route is 用于 53 ， Certbot 将 根据 以及 在 Route53 中 的 ， 并 ， 以 满足 对 的 。

• Amazon SNS 用于发送证书颁发状态的邮件通知。

• Amazon EventBridge 用于进行事件驱动，在方案堆栈部署与更新成功时自动运行 Certbot 证书颁发程序(Lambda)，以实现证书的颁发。同时通过定时任务，默认每 80 天定期生成免费的 SSL 证书用于证书的续期。

• Amazon API Gateway 用于集成管理 SSL 证书的操作，提供调用接口。

• Amazon S3 存储桶用于存储备份的 SSL 证书，可通过 Amazon S3 控制台将证书下载到本地。

• 几乎 * ： 无 及 ， 根据 无 的 ， 每 80 天才 进行 一 次 。
• 即 用 ： 仅 三 分钟 完成 的 及 的 ， 并 以及 与 的 与 。
• 完全开源：此方案中所有的代码均以开源的方式提供，若有不同的需求，您也可以在源代码基础上进行定制化开发。

• 本 无 ， 会 产生 的 ， 例如 无 ， 少量 的 3 和 等 。 但 因 的 需要 ， 使用 53 将 会 3 . 575 元 / 的 。

---

使用

准备

​ 您 is 有 需要 在 CertCloud 有 一个 的 的 或 一个 的 。 的ACME部署 或签发策略的申请证书`,如下所示：

​

​ AWS平台部署方式,最终跳转到AWS CloudFormation堆栈创建页面，如下图所示：

---

创建堆栈

​ Certcloud已为你自动创建了初始化部署相应的模板，只需要点击右下角下一步,结果如下所示：

• 堆栈 is 名称 ： 为 你 的 ， 可以 是 或 等 ， 中 其他 时 的 会 该 。
• Email: 邮箱,默认值为账户配置的通知邮箱，用于接受SNS服务和CA机构的邮件通知，可修改。
• Domain : ， 的 域名 is 建议 ， 不
• SSL Renew Interval Days: 证书轮换周期，默认值为80天，可修改。

​ 当 上述 后 ， 继续 下一步， 您 is 自定义 可以 的 一些 ， 也 可 使用 的 ； 继续 下一步进行确认部署信息后，确认完毕后在页面底部勾选最下方蓝色窗口内的“我确认”，并点击右下角提交按钮。

​ 完成 后 ， 你 is 进行 可以 在 Formation – 进行 ， 5 分钟 左右 完成 。

​ 等待堆栈部署过程请及时查看您刚刚填写的邮箱，您将收到由如图所示的邮件地址发送的 SNS 邮件提醒订阅的确认请求。请尽快点击订阅确认链接以便及时接收 SNS 消息通知，否则您可能会错过首次证书颁发的信息。

​ 订阅成功后的提示如下所示：

后 ， 您 is 看到 可以 在 – 中 看到 三 个 ， 如下 ：

• CloudfrontConsole：访问 Amazon CloudFront 控制台，快速绑定已经颁发的证书

• ManagementWebURL：访问 SwaggerUI，查看或删除 IAM 中已有的 SSL 证书

• S3BucketURL：访问 Amazon S3 控制台，查看或下载颁发的 SSL 证书,桶中的.tar.gz即为证书，桶的命名前缀为堆栈的名称，每次签发都会在桶中新增一个证书对象

  ---

使用证书

​ 堆栈部署成功后，将自动为您的域名申请 SSL 证书。如果已经及时在邮件中订阅 SNS 主题，您会收到由如图所示的邮件地址发送的邮件提醒，以提示您成功颁发 SSL 证书。证书名称由堆栈名称与 SSL 证书过期时间组成。例如：Certbot-2023-11-14-1540，名称后的数字代表证书过期时间，如图所示为 2023 年 11 月 14 日 15 点 40 分。

​ 接下来就是使用证书，打开 CloudFront 控制台，创建或选择您已有的分配，找到编辑备用域名与 SSL 证书的选项入口。

然后再自定义 SSL 证书的下拉菜单中选择对应的 SSL 证书，证书名称的前缀为堆栈的名称,选择后进行保存。

您仅需要在第一次进行绑定证书，后续CloudFront会自动绑定新生成的证书

February 23, 2024