为 CloudFront 分配租户申请证书

当有现有流量时完成域设置

1. 对于 指定 Web 流量 ，选择 我有现有流量 ，然后选择 下一步 。

   对于 验证域所有权 ，请选择以下选项之一：

   手动上传文件 ：选择您是否拥有将文件上传到 Web 服务器的直接访问权限。

   对于每个域，创建一个纯文本文件（其中包含来自 令牌位置 的验证令牌），然后将其上传到位于现有服务器上指定 文件路径 处的源。此文件的路径可能如以下示例所示： /.well-known/pki-validation/acm_9c2a7b2ec0524d09fa6013efb73ad123.txt 。完成该步骤后，ACM 会验证令牌，然后为该域颁发 TLS 证书。

   HTTP 重定向 ：如果您不具有将文件上传到 Web 服务器的直接访问权限，或者您正在使用 CDN 或代理服务，请选择此选项。

   对于每个域，在现有服务器上创建 301 重定向。复制 重定向自 下的已知路径，并指向 重定向至 下的指定证书端点。重定向可能类似于以下示例：

   If the URL matches: example.com/.well-known/pki-validation/leabe938a4fe077b31e1ff62b781c123.txt
   Then the settings are:Forwarding URL
   Then 301 Permanent Redirect:To validation.us-east-1.acm-validations.aws/123456789012/.well-known/pki-validation/leabe938a4fe077b31e1ff62b781c123.txt
                                   
   注意
   可以选择检查证书状态来验证 ACM 何时为该域颁发证书。
                                   
   选择下一步。
                                   
   完成将域指向 CloudFront 的步骤。
               
   I don't have traffic
   
                           
   如果您要添加新域，请选择此选项。CloudFront 将为您管理证书验证。
                           
   在没有流量的情况下完成域设置
   
                                   
   在指定 Web 流量中，选择我还没有流量。
                                   
   对于每个域名，请完成将域指向 CloudFront 的步骤。
                                   
   在更新每个域名的 DNS 记录后，选择下一步。
                                   
   等待颁发证书。
                                   
   注意
   可以选择检查证书状态来验证 ACM 何时为该域颁发证书。
                                   
   选择提交。
           
   将域指向 CloudFront
           
   更新您的 DNS 记录，以便将来自每个域的流量路由到 CloudFront 路由端点。您可以有多个域名，但它们必须全部解析到此端点。
           
   将域指向 CloudFront
   
                   
   复制 CloudFront 路由端点值，例如 d111111abcdef8.cloudfront.net。
                   
   更新您的 DNS 记录，以便将来自每个域的流量路由到 CloudFront 路由端点。
                                   
   名称：顶级域（例如 example.com）
   记录类型：A
   别名：是
   别名目标：CloudFront 路由端点
   路由策略：简单（或任何适合用例的策略）
                       
   验证 DNS 更改是否已传播。（这通常在 TTL 过期时发生。有时可能需要 24-48 小时。） 使用 dig 或 nslookup 之类的工具。
                           
   dig www.example.com
   # Should eventually return a CNAME pointing to your CloudFront routing endpoint
                   
   返回 CloudFront 控制台并选择提交。当域处于活动状态时，CloudFront 会更新域状态，以表明域已准备好提供流量。
           
   有关更多信息，请参阅 DNS 提供商的文档：
       
   域注意事项（分配租户）
       
   当域处于活动状态时，域控制已建立，CloudFront 将响应查看器对该域的所有请求。一旦激活，域就无法停用或更改为非活动状态。当域已在使用中时，该域无法与其它 CloudFront 资源关联。要将该域与其它分配相关联，请使用 UpdateDomainAssociation 请求将该域从一个 CloudFront 资源移到另一个 CloudFront 资源。
       
   当域处于非活动状态时，CloudFront 将不会响应查看器对该域的请求。当域处于非活动状态时，请注意以下情况：
               
   如果您有待处理的证书请求，CloudFront 将响应对已知路径的请求。当请求处于待处理状态时，域无法与任何其它 CloudFront 资源关联。
               
   如果您没有待处理的证书请求，CloudFront 将不会响应对该域的请求。可以将该域与其它 CloudFront 资源相关联。
               
   对于每个分配租户，您只能有一个待处理的证书请求。您必须先取消现有待处理的请求，然后才能为其它域请求另一个证书。取消现有证书请求不会删除关联的 ACM 证书。可以使用 ACM API 将其删除。
               
   如果您将新证书应用于分配租户，这将取消与先前证书的关联。可以重用该证书来涵盖其它分配租户的域。
       
   与续订经 DNS 验证的证书一样，当证书续订成功时，您会收到通知。然而，您不需要做任何其它事情。CloudFront 将自动管理域的证书续订。
       
   注意
   您无需调用 ACM API 操作，即可创建或更新证书资源。您可以通过使用 CreateDistributionTenant 和 UpdateDistributionTenant API 操作来管理证书，以便为托管式证书请求指定详细信息。
       
   注意
   地理限制兼容性：CloudFront 托管式证书验证与地理限制兼容。当您对使用 CloudFront 托管式证书的分配启用地理限制时，会将验证请求排除在地理限制规则之外。证书颁发机构从多个地理上分布的网络视角验证域所有权（多视角颁发证实），以防止 BGP 劫持。无论您屏蔽或允许哪些国家/地区，CloudFront 都能确保这些验证请求取得成功。
   使用此功能无需任何操作。如果您之前移除了地理限制作为证书验证失败的解决方法，则可以安全地重新应用它们。
   通配符域（分配租户）
           
   在以下情况下，分配租户支持通配符域：