amazon-web-services - 上传到 Amazon/CloudFront 时如何验证 SSL 证书链？

Question

我们正在使用 cloudfront 来提供具有自定义域的图像。

http://images.example.com/fubar.png

我们希望能够通过 SSL 访问它们，例如 https://images.example.com/fubar.png

我们有一个用于 *.example.com 的通配符 SSL 证书(由 Godaddy 颁发)，我使用 AWS Certificate Manager 上传证书、私钥和 key 链。上传似乎已成功，因为 *.example.com 似乎已颁发(根据证书管理器)。

然后我按照说明前往 Update the CloudFront Distribution我添加了 images.example.com，选择了Custom SSL Certificate 选项并确保Distribution State 已enabled>。当我单击是，编辑 按钮时，出现以下错误:

com.amazonaws.services.cloudfront.model.InvalidViewerCertificateException: The specified SSL certificate doesn't exist, isn't in us-east-1 region, isn't valid, or doesn't include a valid certificate chain. (Service: AmazonCloudFront; Status Code: 400; Error Code: InvalidViewerCertificate; Request ID: a62cf849-d495-11e7-94d9-673e2e2905b1)

我已经在其他地方成功使用了这个 SSL 证书。如果有帮助，我最初使用 Windows 机器创建此证书以发出请求，然后从 Godaddy 下载该证书。我无法再访问此下载，但我可以访问 Windows 服务器上的 PFX 文件。我拿了这个 PFX 文件(它有私钥)(名为 SSLWildcard.pfx)并使用 OpenSSL 来获取证书和私钥。我使用了以下命令:

openssl pkcs12 -in SSLWildcard.pfx -nocerts -out SSLWildcard.key
openssl rsa -in SSLWildcard.key -out SSLWildcard-decrypted.key
openssl pkcs12 -in SSLWildcard.pfx -clcerts -nokeys -out SSLWildcard.crt

我使用了 CRT 和 KEY 文件的内容(我使用了解密的 key 文件)和 GoDaddy 的公共(public)证书链文件 gd_bundle-g2-g1.crt。我尝试使用来自 GoDaddy's public repository 的各种证书(和组合)但我只是猜测。关于我做错了什么有什么想法吗？

Answer 1

错误消息有一个线索:为云端使用证书时，它必须在 us-east-1 中。

您没有提及将证书上传到哪个区域，但如果您要部署到云端，请确保它在 us-east-1 中。

如果证书在us-east-1，还有另外一条线索:

 Error Code: InvalidViewerCertificate

如果您使用的是为公共(public)网络托管配置的 S3 存储桶，则无法通过 https 在 cloudfront 和 s3 之间进行通信 - 它必须是 http。参见 here了解详情。