为什么我不能为 Read The Docs 网站的子域颁发 SSL/TLS 证书？

Question

我的网站位于 docs.example.com 之类的子域中。

我想在像 something.docs.example.com 这样的子域中创建另一个网站。我想使用 AWS Certificate Manager (ACM) 为这个子域颁发 SSL/TLS 证书，但它因 CAA 记录而引发错误。

Answer 1

问题是 docs.example.com 是指向 readthedocs.io 的 CNAME。

当证书颁发机构查询域名并找到 CNAME 记录时，CA 应该在 CNAME 目标中查找 CAA 记录。

如果我使用命令 dig caa docs.example.com 查询 CAA 记录，我会收到以下响应：

;; QUESTION SECTION:
;docs.example.com.              IN      CAA

;; ANSWER SECTION:
docs.example.com        300     IN      CNAME   readthedocs.io.
readthedocs.io.         3600    IN      CAA     0 issue "comodoca.com"
readthedocs.io.         3600    IN      CAA     0 issue "digicert.com; cansignhttpexchanges=yes"
readthedocs.io.         3600    IN      CAA     0 issue "letsencrypt.org"
readthedocs.io.         3600    IN      CAA     0 issue "pki.goog; cansignhttpexchanges=yes"
readthedocs.io.         3600    IN      CAA     0 issuewild "comodoca.com"
readthedocs.io.         3600    IN      CAA     0 issuewild "digicert.com; cansignhttpexchanges=yes"
readthedocs.io.         3600    IN      CAA     0 issuewild "letsencrypt.org"
readthedocs.io.         3600    IN      CAA     0 issuewild "pki.goog; cansignhttpexchanges=yes"

请注意，AWS ACM 不是 CAA 记录中列出的 CA 之一。要解决此问题，需要有一个 CAA 记录 for one of these four Amazon CA 域：

• amazon.com
• amazontrust.com
• awstrust.com
• amazonaws.com