CloudFormation AWS::CertificateManager::Certificate 自动证书验证

Question

根据 here 和 here 的 AWS 文档，我应该能够使用 cloudformation 自动创建证书和验证。显然，当您在 DomainValidationOptions 中指定 HostedZoneId 时，它应该创建所需的 DNS 记录以完成验证（至少从非常模糊的文档中看起来是这样）。我的证书 CF 模板如下所示：

Resources:
  MyAPICert:
    Type: AWS::CertificateManager::Certificate
    Properties:
      DomainName: xxxx.dev.mydomain.io
      DomainValidationOptions:
        - DomainName: mydomain.io
          HostedZoneId: /hostedzone/Z03XXXXXXXXXXXX
      ValidationMethod: DNS

“mydomain.io”（当然更改了）是使用 AWS 作为注册商注册的，因为文件说必须是自动验证才能工作的情况。

上面的这个模板作为资源包含在 serverless.yml 中。但是，当我部署时，堆栈创建只是卡在等待 DNS 记录 - 即它没有添加所需的 CNAME 条目，因为我理解它是 supposed 做的，因此堆栈被卡住了。

有人用这个功能吗？

而且，是的，我知道尝试做同样事情的第 3 方自定义资源，如果 CF 现在应该在本地执行此操作，我不想使用它们。

Answer 1

我遇到了同样的问题。您需要在DomainValidationOptionsDomainName参数中指定包含主机的完整域名，并且只需指定托管区域id：

Resources:
  MyAPICert:
    Type: AWS::CertificateManager::Certificate
    Properties:
      DomainName: xxxx.dev.mydomain.io
      DomainValidationOptions:
       - DomainName: xxxx.dev.mydomain.io
         HostedZoneId: Z03XXXXXXXXXXXX
      ValidationMethod: DNS

在我的测试中，Route53 验证记录是在堆栈运行大约一分钟后添加的，并且域在大约 15 分钟后成功验证了它。

Answer 2

如果这长时间卡在进行中，则可能是您在需要使用公共托管区域时使用了私有托管区域。可能您不使用私有 CA。 这个过程应该需要 2-3 分钟，不会超过这个时间。

Answer 3

我刚刚将以下模板部署到 CloudFormation，它成功创建了验证 DNS 记录并授权了证书。

如果您要传递参数SiteDnsZoneName=mydomain.io. 和SiteDnsZoneId=ABCDEFGHIJKLMNOPQRSTU，它将创建一个涵盖mydomain.io 和*.mydomain.io 的SAN 证书

{
    "Description": "Deploy wildcard SAN cert inc bare domain. (Must deploy cert to us-east-1 for CloudFront)",
    "Parameters": {
        "SiteDnsZoneName": {
            "Type": "String",
            "MinLength": 4,
            "Description": "DNS Zone",
            "Default": "example.com"
        },
        "SiteDnsZoneId": {
            "Type": "String",
            "MinLength": 8,
            "Description": "DNS Zone Id",
            "Default": "ABCDEFGHIJKLMNOPQRSTU"
        }
    },
    "Resources": {
        "SiteCertificate": {
            "Type": "AWS::CertificateManager::Certificate",
            "Properties": {
                "DomainName": {
                    "Fn::Join": [
                        ".",
                        [
                            "*",
                            {
                                "Ref": "SiteDnsZoneName"
                            }
                        ]
                    ]
                },
                "SubjectAlternativeNames": [
                    {
                        "Ref": "SiteDnsZoneName"
                    }
                ],
                "DomainValidationOptions": [
                    {
                        "DomainName": {
                            "Ref": "SiteDnsZoneName"
                        },
                        "HostedZoneId": {
                            "Ref": "SiteDnsZoneId"
                        }
                    }
                ],
                "ValidationMethod": "DNS"
            }
        }
    }
}

注意：如果您想在 CloudFront 中使用证书，您必须在 us-east-1 中部署该证书。

注意 2：Route53 需要托管您的 DNS 区域，但不需要 AWS 是注册商。您的域可以向任何提供商注册，只要您在添加区域时使用 Route53 提供的 AWS 名称服务器。