Подстановочный ssl-сертификат AWS ACM не работает в домене

Я создал SSL-сертификат для своего сайта с помощью Amazon Certificate Manager. Сертификат предназначен для * .example.com. Затем я прикрепил этот сертификат к моему ELB и оставил протокол экземпляра как http. Таким образом, цепочка SSL находится только между клиентом и ELB. У меня есть две записи A в Route53. Один для example.com один для www.example.com. Оба они имеют псевдоним ELB. Когда я делаю https://www.example.com, он работает отлично. Но когда я делаю https://example.com, я получаю следующую ошибку в FireFox:

"example.com использует недействительный сертификат безопасности. Сертификат действителен только для * .example.com Код ошибки: SSL_ERROR_BAD_CERT_DOMAIN"

Разве сертификат * .example.com не должен работать для адреса example.com? Я что-то упускаю?

ИЗМЕНИТЬ 31 мая 2016 г.

Спасибо Штеффену Ульриху за то, что он указал мне правильный путь. Проблема в том, что при использовании AWS Certificate Manager (ACM) в консоли (веб-браузере) нет возможности добавить альтернативные имена. Для тех, у кого такая же проблема, вам нужно использовать CLI (интерфейс командной строки). Быстрый поиск в Интернете по запросу «Установить AWS CLI» предоставит вам всю информацию, необходимую для завершения установки. После установки CLI вы можете запускать команды ACM. Вот ссылка на документацию:

http://docs.aws.amazon.com/cli/latest/reference/acm/request-certificate.html

Я использовал следующую команду:

aws acm request-certificate --domain-name www.example.com --subject-Alternative-names example.com

Как только запрос был одобрен, я смог увидеть сертификат SSL в веб-интерфейсе ACM. Я установил его, и теперь все работает как шарм!


ssl amazon-web-services amazon-elb aws-certificate-manager
person John    schedule 30.05.2016    source источник
comment
Теперь это можно сделать в самой консоли. Используйте параметр Добавить другое имя к этому сертификату при запросе нового сертификата.   -  person Krishnendu    schedule 24.10.2018

Ответы (2)


arrow_upward
35
arrow_downward

Сертификат для *.example.com соответствует whatever.example.com, но не только example.com. Это потому, что * должен соответствовать метке, а example.com не имеет метки вместо *. Если вы хотите сопоставить и whatever.example.com, и example.com, вам необходимо создать сертификат, который имеет в качестве альтернативных имен субъектов как *.example.com, так и example.com.

person Steffen Ullrich    schedule 30.05.2016
comment
У меня есть сертификат с доменным именем * .tilt45.in и дополнительными именами tilt45.in и www.tilt45.in. Когда я пытаюсь получить доступ к tilt45.in или www.tilt45.in, я не использую root- ›index.html, но когда я использую api.tilt45.in, я могу получить доступ к index.html. У меня есть запись для api.tilt45.in. Когда я пытаюсь создать аналогичную запись для tilt45.in, я получаю сообщение об ошибке, что запись уже существует. - person Darshan Puranik; 23.03.2017
comment
@DarshanPuranik: комментарии не предназначены для того, чтобы задавать новые вопросы. Пожалуйста, задайте новый вопрос со всеми необходимыми деталями и где все это могут увидеть. - person Steffen Ullrich; 23.03.2017
comment
@SteffenUllrich привет, извини, что наткнулся на это 2 года спустя. Я предоставляю сертификат SSL, используя example.com и *.example.com. Это работает для моих поддоменов и раньше всегда работало для www.subdomain.example.com, если я настроил это в Route53. В последнее время наши сертификаты SSL больше не работают для www.subdomain, даже если они настроены, как всегда. Вы знаете, изменилось ли что-нибудь в этом отношении на стороне AWS? Мы, должно быть, настроили около 30 проектов в Route53 / cloudfront с сертификатом ACM SSL и никогда не сталкивались с этой проблемой. - person Stephen Tetreault; 01.10.2018
comment
@StephenTetreault: поведение, которое я описываю, не имеет ничего общего с Route 53, а связано с тем, как сертификаты проверяются в целом. Я не знаю, какой Route 53 или вы сделали, когда ранее настраивали домен, но сертификат для *.example.com не будет соответствовать www.subdomain.example.com, не делал этого раньше. Для этого вам понадобится сертификат на *.subdomain.example.com. - person Steffen Ullrich; 01.10.2018

arrow_upward
7
arrow_downward

При запросе нового сертификата через консоль теперь вы можете добавить и * .domain.com, и www.domain.com, прежде чем нажимать «Далее», в следующем поле убедитесь, что вы запрашиваете добавление еще одного домена к сертификату.

person user2867432    schedule 02.05.2017