ssl - 有点与云端混淆，为什么我的 CNAME 证书不起作用

Question

在我设置 CloudFront 分配后，我在我的主站点上收到了这条消息。我为 cdn.example.com 创建了一个证书，选择了自定义并输入了 cdn.example.com 以用于 HTTPS。

我在 cdn.example.com 的 DNS 配置中创建了一个 CNAME，并按照 AWS 的要求添加了验证记录。证书显示为已颁发和验证。

    Failed to load resource: The certificate for this server is invalid. You might be connecting to a server that is pretending to be “cdn.example.com”, which could put your confidential information at risk.

没有加载图像，网站也没有按应有的方式呈现。如果我使用云端 URL(即 d12345.cloudfront.net)，一切正常。除了 cdn.example.com 之外，我是否需要将 SAN 添加到我的证书中，例如主域(即 example.com)？如果是这样，它是如何工作的，因为我已经为我的 www.example.com 和 example.com 使用了 Let's Encrypt 的 SSL 证书。

我正在使用 WordPress 和 wpfastestcache 将 CloudFront 与网站集成，我在其中指定了 cdn.example.com 并将来源指定为 example.com。

Answer 1

这个问题令人困惑，因为它似乎描述了一种非常不可能的情况。带有来自 ACM 的新证书的新配置的 CloudFront 分配如何提供无效证书？

事实上，我被部分“有用的”浏览器错误消息分散了注意力，“您可能正在连接到一个伪装成...的服务器”我错误地认为这暗示着证书中的主机名是正确的(“假装是”)但证书由于其他原因无效。

事实证明，所提供的证书是默认的通用 *.cloudfront.net 证书，因此证书中的主机名与自定义域名不匹配。

在 ACM 中创建证书后，需要将其与 CloudFront 分配相关联，如 https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/distribution-web-values-specify.html#DownloadDistValuesSSLCertificate 中所述.

在 ACM 控制台中可以观察到关于问题性质的另一个提示。在那里，证书会显示 In Use?没有。

In Use? – Whether the ACM Certificate is actively associated with an AWS service such as Elastic Load Balancing or CloudFront. The value can be No or Yes.

https://docs.aws.amazon.com/acm/latest/userguide/gs-acm-list.html#gs-acm-list-console