无法获取 AWS CDK ACM DNS 验证证书来创建

Question

我似乎无法获得 ACM DNS 验证证书（aws-cdk 2.23.0、2.24.0）来验证 .info 域。每次都会超时。我很确定几个月前我成功地使用了同样的代码。我想知道是否有什么改变？

const zone = HostedZone.fromHostedZoneAttributes(this, 'zone', {
  zoneName: 'mydomain.info',
  hostedZoneId: 'Z0xxxxxxxxx',
});

const certificate = new Certificate(this, 'certificate', {
  domainName: 'mydomain.info',
  validation: CertificateValidation.fromDns(zone),
});

// I've also tried:
const certificate = new DnsValidatedCertificate(this, 'certificate', {
  domainName: 'mydomain.info',
  hostedZone: zone,
});

我从 CDK 得到的错误是：

Received response status [FAILED] from custom resource. Message returned: Resource is not in the state certificateValidated (RequestId: .....)

我猜这是因为验证超时。

我可以看到验证记录已在托管区域中创建：

_c66d3e7c05fac89b27b619c84677ebb5.mydomain.info CNAME   Simple  -   _7347cc5c453e83adefc9ad849cdeab8e.rdnyqppgxp.acm-validations.aws.

我不确定如何找出验证失败的原因。

Answer 1

ℹ️ DnsValidateCertificate 自 2.62.0 以来已弃用。您现在应该使用Certificate 类。对于跨区域证书（您定义区域的地方，例如必须位于 us-east-1 中的 CloudFront 证书，请查看 this example。

这段代码正是你所需要的，你是对的：

const zone = HostedZone.fromHostedZoneAttributes(this, 'zone', {
  zoneName: 'mydomain.info',
  hostedZoneId: 'Z0xxxxxxxxx',
});

const certificate = new DnsValidatedCertificate(this, 'certificate', {
  domainName: 'mydomain.info',
  hostedZone: zone,
});

1. 正在创建的记录意味着您的 Route53 区域已被找到。
2. 验证失败意味着您域的公共 DNS 不显示此记录

   我的猜测是您创建了 Route53 区域，但没有更改域的 NS 记录。您可以手动检查它：

   host -t CNAME _c66d3e7c05fac89b27b619c84677ebb5.mydomain.info
   # Should output this:
   # _7347cc5c453e83adefc9ad849cdeab8e.rdnyqppgxp.acm-validations.aws.
   

   如果您遇到“未找到主机”错误，那么好！

   检索您的 Route53 区域名称服务器（应该有 4 个或它们，看起来像 ns-*.awsdns-*.*），您可以在区域详细信息页面的顶部轻松找到它们。

   在 mydomain.info 原始区域（您注册域的位置）中，将此名称服务器列表放入 NS 记录中，然后重试您的 ACM 证书创建。您可以使用以下命令检查委托是否有效：

   $ host -t NS mydomain.info
   # mydomain.info name server ns-123.awsdns-01.net.
   # mydomain.info name server ns-45.awsdns-23.co.uk.
   # mydomain.info name server ns-67.awsdns-45.com.
   # mydomain.info name server ns-89.awsdns-67.org.