一、背景

2020年以前,AWS中国区没有上线Amazon Certificate Manager(ACM),因此无法直接签署证书,由此CloudFront上需要使用第三方证书上传到IAM服务。本文描述如何上传并启用证书服务。

二、创建仅HTTP的CDN服务

首先创建一个仅提供HTTP服务的CDN“分配”,或者英文叫做分发点“Distribution”。创建时候使用默认值,不开启SSL证书服务,输入要绑定的CNAME域名,然后创建完成。

创建完成后,系统会显示分配ID,例如“E318BF7RQO040L”这个就是分配ID。后续配置中将使用这个ID。

三、上传证书到IAM

上传的过程,需要AWS CLI才能操作。将证书复制到有权限操作CLI的环境上。

执行如下命令。

aws iam upload-server-certificate \
--server-certificate-name ExampleCertificate \
--certificate-body file://Certificate.pem \
--certificate-chain file://CertificateChain.pem \
--private-key file://PrivateKey.pem \
--path /cloudfront/DistributionName/

本命令中的参数解释:

  • 证书名字可以任意填写;
  • 第三方购买的证书,需要输入三个文件。但一般拿到证书是两个文件。这时候用文本编辑器打开Certificate文件,可以看到这个文件包含上下2个部分,中间有分割线,上半部分就是证书,下半部分就是证书链;
  • 最后的Cloudfront路径是前文步骤中创建的仅HTTP服务的CDN发布点,注意它的名字后边必须带有一个反斜杠。这个也就决定了,必须先去创建HTTP发布点,然后才能获得发布点的ID,再上传证书并指定ID。

以本文的测试为例,调整参数如下:

aws iam upload-server-certificate \
--server-certificate-name lxy \
--certificate-body file://lxy.crt \
--certificate-chain file://lxyChain.pem \
--private-key file://lxy.key \
--path /cloudfront/E318BF7RQO040L/

到CLI上执行,返回json字符串和ARN ID就表示操作成功。

至此上传证书操作完成。

四、修改现有CDN分发点启用HTTPS证书

重新修改本位一开始创建的仅HTTP服务的CDN发布点。

编辑分配点时候,可以发现一开始创建时候不能选择的SSL证书选项,现在不在是灰色,可以选择了。点击下拉框后,可以看到证书文件。如下截图。

点击保存,完成发布点更新。

在等待几分钟后,用浏览器去访问CDN绑定的域名,并使用https方式访问,再通过浏览器检查证书属性,即可确认设置是否成功完成。

五、参考文档

上传、修改、删除IAM证书

https://docs.aws.amazon.com/zh_cn/IAM/latest/UserGuide/id_credentials_server-certs.html

在CloudFront上使用IAM证书

https://aws.amazon.com/cn/premiumsupport/knowledge-center/custom-ssl-certificate-cloudfront/

Categories:

Tags:

Comments are closed