ssl - 如何在 CloudFront 上正确安装 SSL？

Question

您好，我刚刚为我的域购买了 SSL。在与我的 SSL 条款联系后，我从我的供应商处获得了 5 个文件。

my_domain.crt
AddTrustExternalCARoot.crt
TrustedSecureCertificateAuthority5.crt
USERTrustRSAAddTrustCA.rt
my_domain.private_key

我的供应商说我必须安装所有这些。

我使用 AWS CLI 通过此命令进行安装。

aws iam upload-server-certificate --server-certificate-name my_domain \
--certificate-body file://my_domain.crt \
--private-key file://my_domain.private_key \
--certificate-chain file:://AddTrustExternalCARoot.crt \
--path /cloudfront/

我尝试了所有的 .crt 文件，但只有 TrustedSecureCertificateAuthority5.crt经历过。

其他人我得到了这个错误。

A client error (MalformedCertificate) occured when calling the UploadServerCertificate operation: Unable to validate certificate chain must start with the immediate signing certificate, followed by any intermediaries in order.

在使用 <a href="https://www.sslshopper.com/ssl-checker.html" rel="noreferrer noopener nofollow">https://www.sslshopper.com/ssl-checker.html</a> 之后检查我的 SSL 我得到了这个。

The certificate is not trusted in all web browsers. You may need to install an Intermediate/chain certificate to link it to a trusted root certificate. Learn more about this error. The fastest way to fix this problem is to contact your SSL provider.

Common name: my_domain
SANs: my_domain
Organization: My Org
Location:  US
Valid from : Date
Serial Number: 
Signature Algorithm: 
Issuer: Trusted Secure Certificate Authority 5  

Common name: Trusted Secure Certificate Authority 5
Organization: Corporation Service Company
Location: Wilmington, DE, US
Valid from September 9, 2014 to September 9, 2024
Serial Number: 
Signature Algorithm: 
Issuer: USERTrust RSA Certification Authority

Answer 1

证书链文件是信任的“链”。它是提供的所有(通常)内容的组合 *Trust*.crt文件，它们需要按特定顺序组合，包括每个文件中的开始/结束行。

所有.crt文件有一个 Subject(证书证明有效的实体)和一个 Issuer(签署证书的实体)。

您必须构建并呈现此信任“链”，以便每个证书的主题反射(reflect)先前 证书的颁发者。

使用 openssl x509 -text -noout -in <filename>在您域的证书上，然后在每个 *Trust*.crt 上证书文件以查找其“颁发者”和“主题”值。

从您域证书中显示的 Issuer 值开始，找到显示您域证书 Issuer 值的 .crt 文件... 作为主题。该文件将位于链中的第一个。

然后记下该文件的 Issuer 并找到下一个文件，该文件的主题与前一个文件的 Issuer 相匹配……依此类推，直到您找出组装它们的顺序。链中的最后一个证书对于 Issuer 和 Subject 很可能具有相同的值，因为它是链的末端。

结合三者的内容*Trust*.crt文件，按照上述步骤确定的顺序，放入一个新文件中，并将您创建的新文件用作“证书链”文件。请记住，您域的 .crt 文件不会进入链文件，因为您是单独发送的。