AWS：CloudFront 中禁用了自定义 SSL 证书选项，但我使用 AWS Certificate Manager 创建了 SSL 证书答案

【问题标题】：AWS: Custom SSL certificate option is disabled in CloudFront, but I created a SSL certificate using AWS Certificate ManagerAWS：CloudFront 中禁用了自定义 SSL 证书选项，但我使用 AWS Certificate Manager 创建了 SSL 证书
【发布时间】：2017-08-27 05:31:10
【问题描述】：

我正在为我的亚马逊 S3 静态网站创建 SSL 证书。我使用证书管理器为我的域创建了一个 SSL 证书，其状态为“已发行”。我正在创建 CloudFront 分配，但自定义 SSL 证书选项被禁用。

是否需要一些时间（一天或更长时间）才能看到我的自定义 SSL 证书？还是我做错了什么？

【问题讨论】：

您是否在证书管理器的us-east-1 区域创建了证书？
是的，你是对的。早些时候，我在亚洲地区创建了证书。现在，在 us-east-1 区域创建证书后，我可以在创建 CloudFront 时看到证书。我们应该只在 us-east-1 区域创建证书吗？你可以写上面的评论作为答案，我会接受的。

标签： amazon-web-services ssl amazon-s3 https ssl-certificate

【解决方案1】：

将与 Application Load Balancer (ELB/2.0) 一起使用的证书需要在 ACM 中与平衡器位于同一区域中创建。

将与 CloudFront 一起使用的证书始终需要在 us-east-1 中创建。

要将 ACM 证书与 Amazon CloudFront 结合使用，您必须在美国东部（弗吉尼亚北部）区域申请或导入该证书。此区域中与 CloudFront 分配关联的 ACM 证书将分发到为该分配配置的所有地理位置。

——http://docs.aws.amazon.com/acm/latest/userguide/acm-regions.html

原因是 CloudFront 不遵循 AWS 中的区域边界模型。 CloudFront 边缘站点遍布全球，但在 us-east-1 之外进行配置和管理——将其视为 CloudFront 的主区域。一旦分配达到Deployed 状态，它在操作上就不再依赖于 us-east-1，但在配置期间，所有内容都来自该区域，因此这是 CloudFront 可以访问的唯一 ACM 区域。

【讨论】：

我也有同样的问题。我已经在 N Viginia (us-east 1) 区域的 ACM 中导入了证书。证书显示在自定义 SSL 选项中（在编辑或创建分发时），但它与选择自定义 SSL 的单选按钮一起仍然是灰色的。

【解决方案2】：

我得到了这种确切的行为，但在 us-east-1 正确导入了证书，并发现问题出在我的证书的密钥大小（4096 位）。

AWS CloudFront 仅接受最多 2048 位的密钥，如下所述：https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/cnames-and-https-requirements.html#https-requirements-size-of-public-key

公钥的大小

证书的公钥长度取决于您存储它的位置。

将证书导入 AWS Certificate Manager (ACM)：公钥长度必须为 1024 或 2048 位。与 CloudFront 一起使用的证书的限制是 2048 位，即使 ACM 支持更大的密钥。

将证书上传到 AWS Identity and Access Management (IAM) 证书存储：公钥的最大大小为 2048 位。

我们建议使用 2048 位。

【讨论】：

【解决方案3】：

替换证书时，请确保清除“自定义 SSL 证书 (example.com)”文本框中现有证书的名称。如果您不填写，则无法选择其他证书。

【讨论】：

【解决方案4】：

在尝试创建 cloudFront 分配时有相同的体验。我最初在 us-west-2 区域创建了证书，但复选框是灰色的。解决它的是在 us-east-1 区域创建证书。复选框立即变为可选状态。

【讨论】：