SSL/TLS 证书申请及使用方法

您需要确定自己将会使用 ALB，CloudFront，Amazon API Gateway 中的至少其中一项服务，且您需要拥有一个域名或者有配置域名解析记录的权限，否则，您需要申请一个域名。以下操作以 Amazon Route 53（Amazon 的域名服务）为例。

对于 ALB 或者 Amazon API Gateway 服务，您需要选择在与之相同的区域来申请 ACM 证书；如果您使用的是海外区域 Amazon CloudFront，则需要将证书配置在弗吉尼亚北部区域 (us-east-1)。您可以在页面右上角确认当前所处区域。

在 Service 下拉框中，选择 “Security, Identity, & Compliance” > “Certificate Manager”

选择请求公有证书。

您可以添加通配符域名，比如*.example.com， 这样对于同一个顶级的多个二级域名，可以使用同一个 ACM 公有证书，而不需要多次申请。

如果您的域名托管在 Route 53，则建议您使用 DNS 验证，并在验证页面，点击在 Route 53 中创建记录。否则，您可以按照页面提示，任意验证方式。

一直点击下一步，直到“步骤 5：验证”页面，

1. 找到 ALB，并选择添加侦听器。

2. 选择 HTTPS 协议，端口默认 443 并添加转发。

3. 选择默认安全策略。

4. 选择刚才创建的 SSL 证书，并保存。

5. 接下来您就可以使用 HTTPS 协议访问域名，测试是否配置成功。

海外区域的配置方法如下：

在 CloudFront 上配置 ACM 公有证书需要在弗吉尼亚北部区域 (us-east-1) 预置 ACM 公有证书。

1. 创建 DNS 记录，域名指向 CloudFront 域名。

2. 编辑 CloudFront 分配。

3. 在备用域名部分输入域名，并选择刚才之前创建的自定义 SSL 证书。

中国区域的配置方法：

如果您使用的是中国区域，则需要先申请第三方证书，然后上传到 Amazon Identity & Access Management（IAM）服务中，以下步骤展示上传证书的方法。

首先，进入 CloudFront 的编辑页面，然后选择 Custom SSL Certificate，点击 Upload a Certificate to IAM 。

您也可以使用 China CloudFront SSL插件 来自动帮您生成并上传证书

您需要使用 HTTP API 或者 REST API 的自定义域名，本文以 HTTP API 为例。这里，我们假定您已经部署好 API Gateway 并且可以正常访问，如 test API。
a) 选择自定义域名，点击创建

b) 填入域名，创建区域性域名以及选择刚才创建的 ACM 证书，然后点击创建域名。

c) 创建完成后，点击 API 映射，点击 配置 API 映射。

d) 点击 添加新映射，API 选择之前部署的 API Gateway，选择阶段、路径，然后点击保存。

映射配置完成

e) 观察域名详细信息，记录下 API Gateway 域名。

f) 添加 DNS 记录，将自定义域名解析到刚才记录的 API Gateway 域名。

至此，您就可以在域名解析生效后，使用自定义域名访问 API Gateway 了。

本教程介绍了 ACM 证书的申请方法，并展示了将证书绑定到 Amazon Application Load Balancer (ALB)，Amazon CloudFront, Amazon API Gateway 的方法。借助 ACM 公有证书，您可以免于手动维护证书的更新等操作，有效降低运维复杂度，并提高网站的安全性。

• API Gateway 自定义域名

• Amazon Certificate Manager

• 创建 ALB

• CloudFront 介绍

• ACM 介绍