什麼是 AWS Certificate Manager？

AWS Certificate Manager (ACM) 是一種服務，可讓您輕鬆佈建、管理和部署公有及私有 Secure Sockets Layer/Transport Layer Security (SSL/TLS) 憑證，其可與 AWS 服務和您的內部連線資源搭配使用。SSL/TLS 憑證可用於保護網路通訊安全，還有為網際網路上的網站和私有網路上的資源建立身分。ACM 免除了耗時的手動購買、上傳和續約 SSL/TLS 憑證的手動程序。使用 AWS Certificate Manager 可以快速請求憑證、在 Elastic Load Balancer、Amazon CloudFront 分佈和 API Gateway 上的 API 等 AWS 資源進行部署，以及讓 ACM 處理憑證續約。它也可讓您建立內部資源的私有憑證，以及集中管理憑證生命週期。透過 ACM 佈建、且專門與 ACM 整合式服務 (例如 Elastic Load Balancing、Amazon CloudFront 及 Amazon API Gateway) 搭配使用的公有與私有 SSL/TLS 憑證無須付費。您必須支付為執行應用程式而建立的 AWS 資源的費用。每個私有 CA 在刪除之前，您每個月都要支付一筆操作費，而您所發行但非專門與 ACM 整合式服務搭配使用的私有憑證，也要支付月費。

什麼是 SSL/TLS 憑證？

SSL/TLS 憑證可讓 Web 瀏覽器使用 Secure Sockets Layer/Transport Layer Security (SSL/TLS) 協定來識別和建立網站的加密網路連接。憑證是在稱為公開金鑰基礎設施 (PKI) 的加密系統內使用。如果雙方都信任第三方 (稱為憑證授權單位)，PKI 會使用憑證讓其中一方建立另一方的身分。您可以瀏覽 ACM 使用者指南中的概念主題，了解其他背景資訊和定義。

什麼是私有憑證？

私有憑證可識別組織內的資源，例如應用程式、服務、裝置及使用者。在建立安全的加密通訊通道時，每個端點會使用憑證和加密技術向另一個端點證明自己的身分。內部 API 端點、Web 伺服器、VPN 使用者、IoT 裝置及其他多種應用程式會使用私有憑證建立所需的加密通訊通道，以進行安全的操作。

公有憑證與私有憑證有何不同？

公有憑證與私有憑證都可協助客戶識別網路上的資源，並能確保這些資源之間的通訊安全。公有憑證可識別公有網際網路上的資源，而私有憑證可識別私有網路上的資源。主要的一項差別在於應用程式和瀏覽器預設會自動信任公有憑證，但管理員必須明確地設定應用程式信任私有憑證。公有 CA (發行公有憑證的實體) 需遵循嚴密的規則、提供操作檢視，並符合瀏覽器和作業系統廠商強制執行的安全標準，這些安全標準決定其瀏覽器和作業系統會自動信任哪些 CA。私有 CA 由私有組織管理，而且私有 CA 管理員可自訂發行私有憑證的規則，包括發行憑證的實務及憑證可包含的資訊。

使用 AWS Certificate Manager (ACM) 有哪些好處？

ACM 可在 AWS 平台上輕鬆啟用網站或應用程式的 SSL/TLS。ACM 免除許多之前與使用和管理 SSL/TLS 憑證相關的手動程序。ACM 透過管理續約，也可協助您避免因憑證設定錯誤、撤銷或過期而產生的停機時間。您可獲得 SSL/TLS 保護和簡易的憑證管理。為連結網路的網站啟用 SSL/TLS 可協助提升網站的搜尋排名，並協助遵守加密傳輸中資料的合規要求。當您使用 ACM 管理憑證時，會使用增強式加密和金鑰管理最佳實務來保護和存放憑證私有金鑰。ACM 可讓您使用 AWS 管理主控台、AWS CLI 或 ACM API 來集中管理 AWS 區域中的所有 SSL/TLS ACM 憑證。ACM 會與其他 AWS 服務整合，因此您可以請求 SSL/TLS 憑證，並使用 AWS 管理主控台、AWS CLI 命令或 API 呼叫，將其佈建到 Elastic Load Balancing 負載平衡器或 Amazon CloudFront 分佈。

我可以使用 ACM 管理哪些類型的憑證？

ACM 可讓您管理公有憑證與私有憑證的生命週期。ACM 的功能會依公有憑證或私有憑證、憑證取得方式和憑證部署位置而有所不同。公有憑證 – 您可以在 ACM 中申請 Amazon 簽發的公有憑證。ACM 可管理與 ACM 整合式服務 (包括 Amazon CloudFront、Elastic Load Balancing 及 Amazon API Gateway) 搭配使用的公有憑證續約和部署。公有憑證 – 您可選擇將私有憑證交由 ACM 管理。以這種方式使用時，ACM 會自動續約和部署搭配 ACM 整合式服務 (包括 Amazon CloudFront、Elastic Load Balancing 及 Amazon API Gateway) 使用的私有憑證。您可以使用 AWS 管理主控台、API 或命令列介面 (CLI) 輕鬆地部署這些私有憑證。您可以從 ACM 匯出私有憑證，然後將它們用於 EC2 執行個體、容器、內部部署伺服器和 IoT 裝置。AWS Private CA 會自動續約這些憑證，並在續約完成後傳送 Amazon CloudWatch 通知。您可以撰寫用戶端程式碼以下載續約的憑證和私有金鑰，並連同您的應用程式一起部署。匯入的憑證 – 如果您要將第三方憑證與 Amazon CloudFront、Elastic Load Balancing 或 Amazon API Gateway 搭配使用，可利用 AWS 管理主控台、AWS CLI 或 ACM API 將該憑證匯入 ACM。ACM 不能更新匯入的憑證，但它能幫您管理更新程序。您要負責監控已匯入憑證的過期日期，並在過期之前續約憑證。您可以透過 ACM CloudWatch 指標來監控已匯入憑證的過期日期，並匯入新的第三方憑證來取代已過期的憑證。

如何開始使用 ACM？

要開始使用 ACM，請瀏覽到 AWS 管理主控台中的 Certificate Manager，然後使用精靈來請求 SSL/TLS 憑證。如果您已建立 Private CA，則可選擇要使用公有憑證還是私有憑證，然後輸入您的網站名稱。您也可以使用 AWS CLI 或 API 來請求憑證。在憑證發行之後，您可將它與 ACM 整合的其他 AWS 服務搭配使用。對於每個整合的服務，只要從 AWS 管理主控台的下拉式清單中選取所需的 SSL/TLS 憑證即可。或者，您可以執行 AWS CLI 命令或呼叫 AWS API 來建立憑證與資源之間的關聯。然後，整合的服務會將憑證部署到您選取的資源。如需關於請求和使用 ACM 提供的憑證的更多資訊，請在 ACM 使用者指南中進一步了解。除了將私有憑證與 ACM 整合式服務搭配使用之外，您也可以匯出私有憑證以在 EC2 執行個體上、ECS 容器上或任何位置使用。

ACM 憑證可與哪些 AWS 服務搭配使用？

• Elastic Load Balancing – 請參閱 Elastic Load Balancing 文件 • Amazon CloudFront – 請參閱 CloudFront 文件 • Amazon API Gateway – 請參閱 API Gateway 文件 • AWS CloudFormation – 目前僅支援由 ACM 簽發的公有和私有憑證。請參閱 AWS CloudFormation 文件 • AWS Elastic Beanstalk – 請參閱 AWS Elastic Beanstalk 文件 • AWS Nitro Enclaves – 請參閱 AWS Nitro Enclaves 文件

哪些區域可以使用 ACM？

請參閱 AWS 全球基礎設施頁面，查看目前可使用 AWS 服務的區域。要將 ACM 憑證與 Amazon CloudFront 搭配使用，您必須請求或匯入美國東部 (維吉尼亞北部) 區域的憑證。這個區域中與 CloudFront 分佈關聯的 ACM 憑證會分發到為該分佈設定的所有地理位置。

ACM 可管理何種類型的憑證？

ACM 可管理公有、私有和匯入的憑證。在簽發和管理憑證文件中進一步了解 ACM 的功能。

ACM 是否可以提供具有多個網域名稱的憑證？

是。每個憑證必須至少包含一個網域名稱，而且您可在需要時新增其他名稱到憑證。例如，如果使用者想要透過以下兩個名稱連到您的網站，則可以在 "www.example.com" 的憑證新增 "www.example.net" 名稱。您必須對憑證請求中包含的全部名稱具備擁有權或控制權。

什麼是萬用字元網域名稱？

萬用字元網域名稱可符合網域中的任何第一層子網域或主機名稱。第一層子網域是不包含句點 (點) 的單一網域名稱標籤。例如，您可以使用 *.example.com 名稱來保護 www.example.com、images.example.com，以及任何以 .example.com 結尾的任何其他主機名稱或第一層子網域。在 ACM 使用者指南中進一步了解。

ACM 憑證的有效期間為何？

透過 ACM 發行之憑證的有效期是 13 個月 (395 天)。如果您直接從私有 CA 發行私有憑證，並且自行管理金鑰與憑證，而不使用 ACM 來管理憑證，您可以選擇任何有效期間 (包含絕對的結束日期，或自目前日期算起幾天、幾月或幾年內有效的相對時間)。

ACM 簽發的憑證使用何種演算法？

依預設，在 ACM 中簽發的憑證會使用 RSA 金鑰搭配 2048 位元模數與 SHA-256。此外，您可以請求帶有 P-256 或 P-384 的橢圓曲線數位簽章演算法 (ECDSA) 憑證。在 ACM 使用者指南中進一步了解演算法。

如何撤銷憑證？

您可以前往 AWS Support Center 建立案例，以請求 ACM 撤銷公有憑證。如果要撤銷您的 AWS Private CA 所簽發的私有憑證，請參閱 AWS Private CA 使用者指南。

是否可以在一個以上的 AWS 區域使用相同的 ACM 憑證？

否。ACM 憑證必須與使用該憑證的資源處於同一區域。唯一的例外是 Amazon CloudFront，此為全球服務，需要美國東部 (維吉尼亞北部) 區域的憑證。這個區域中與 CloudFront 分佈關聯的 ACM 憑證會分發到為該分佈設定的所有地理位置。

是否可以在 Amazon EC2 執行個體或自己的伺服器上使用憑證？

您可以將 Private CA 發行的私有憑證與 EC2 執行個體、容器和您自己的伺服器搭配使用。公有 ACM 憑證目前只能與特定的 AWS 服務搭配使用，包括 AWS Nitro Enclaves。請參閱 ACM 服務整合。

ACM 是否允許在網域名稱中有本地語言字元，這也稱為國際化網域名稱 (IDN)？

ACM 不允許 Unicode 編碼的本地語言字元；然而，ACM 允許網域名稱中有 ASCII 編碼的本地語言字元。

ACM 允許何種網域名稱標籤格式？

ACM 只允許 UTF-8 編碼的 ASCII，包括內有 "xn–" 的標籤 (通常稱為 Punycode)，作為網域名稱。ACM 不接受 Unicode 輸入 (u-labels) 作為網域名稱。

是否可以匯入第三方憑證，並將它與 AWS 服務搭配使用？

是。如果您要使用第三方憑證搭配 Amazon CloudFront、Elastic Load Balancing 或 Amazon API Gateway，可利用 AWS 管理主控台、AWS CLI 或 ACM API 將該憑證匯入 ACM。ACM 不會管理匯入憑證的續約程序。您可以透過 AWS 管理主控台來監控已匯入憑證的過期日期，並匯入新的第三方憑證來取代已過期的憑證。

什麼是公有憑證？

公有憑證與私有憑證都可協助客戶識別網路上的資源，並能確保這些資源之間的通訊安全。公有憑證可識別網際網路上的資源。

ACM 提供哪些類型的公有憑證？

ACM 提供網域驗證的 (DV) 公有憑證，以與可終止 SSL/TLS 的網站和應用程式搭配使用。如需有關 ACM 憑證的詳細資訊，請參閱憑證特性。

ACM 公有憑證是否受瀏覽器、作業系統及行動裝置信任？

ACM 公有憑證受多數現代瀏覽器、作業系統以及行動裝置信任。ACM 提供的憑證可用於 99% 的瀏覽器與作業系統，包含 Windows XP SP3 與 Java 6，以及更新的版本。

如何確認我的瀏覽器是否信任 ACM 公有憑證？

某些信任 ACM 憑證的瀏覽器會顯示一個鎖圖示，而且在經由 SSL/TLS (例如使用 HTTPS) 連接到使用 ACM 憑證的網站時不會發出憑證警告。公有 ACM 憑證經過 Amazon 的憑證授權單位 (CA) 驗證。任何包含 Amazon Root CA 1、Amazon Root CA 2、Amazon Root CA 3、Amazon Root CA 4、Starfield Services Root Certificate Authority – G2 的瀏覽器、應用程式或作業系統，一律會信任 ACM 憑證。如需根 CA 的詳細資訊，請造訪 Amazon Trust Services Repository 。

Amazon 在何處說明公有憑證發行的政策和實務？

相關說明在 Amazon Trust Services 憑證政策與 Amazon Trust Services Certification Practices Statement 文件中描述。請參閱 Amazon Trust Services 儲存庫以取得最新版本。

適用於 www.example.com 的憑證是否也可用於 example.com？

否。如果您要兩個網域名稱 (www.example.com 與 example.com) 都能參照您的網站，則必須請求包含兩個名稱的憑證。

ACM 如何協助我的組織符合我的合規要求？

透過讓 ACM 易於加強安全連線，這是許多合規計劃 (例如 PCI、FedRAMP 及 HIPAA) 的常見要求，就能使用 ACM 來協助您遵守各種法規要求。有關合規的特定資訊，請參考 http://aws.amazon.com/compliance。

ACM 是否提供可在網站上顯示的網站安全標章或信任標誌？

否。如果您想使用網站安全標章，可以從第三方廠商取得。建議您選擇評估和維護您網站或商業行為安全或兩者的廠商。

Amazon 是否允許使用其商標做為憑證徽章、網站安全標章或信任標誌？

否。未使用 ACM 服務的網站，或以不正當方式騙取信任的網站都可能會複製這類標章和徽章。為了保護客戶和 Amazon 商譽，我們不允許以這種方式使用我們的標誌。

如何從 ACM 佈建公有憑證？

您可以使用 AWS 管理主控台、AWS CLI 或 ACM API/SDK。要使用 AWS 管理主控台，請導覽至 Certificate Manager，依序選擇 Request a certificate、Request a public certificate、輸入網站的網域名稱，然後依照畫面上的指示完成您的請求。如果使用者能使用其他名稱存取您的網站，則可以在您的請求中新增其他網域名稱。ACM 發行憑證之前，會先驗證您擁有或可控制憑證請求中的網域名稱。請求憑證時，您可以選擇使用 DNS 驗證或電子郵件驗證。如果使用 DNS 驗證，您要在網域的公有 DNS 組態寫入記錄，以證明您擁有或可控制網域。您使用 DNS 驗證一次並建立對網域的控制之後，只要 DNS 記錄保留在原處而且憑證在使用中，就能取得額外的憑證並讓 ACM 續約現有的網域憑證。無須再次驗證網域的控制權。如果您選擇電子郵件驗證而不是 DNS 驗證，便會傳送電子郵件給網域擁有者，請求核准發行憑證。驗證您擁有或可控制請求中的每個網域名稱之後，就會發行憑證並可在其他 AWS 服務進行佈建，像是 Elastic Load Balancing 或 Amazon CloudFront。請參閱 ACM 文件以取得詳細資訊。

為什麼 ACM 要驗證公有憑證的網域擁有權？

憑證可用來建立網站的身分，並保護瀏覽器、應用程式和網站之間的連線安全。若要發行公開信任的憑證，Amazon 必須確定憑證請求者擁有憑證請求中網域名稱的控制權。

ACM 如何在發行網域的公有憑證之前驗證網域擁有權？

發行憑證之前，ACM 會驗證您擁有或可控制憑證請求中的網域名稱。請求憑證時，您可以選擇使用 DNS 驗證或電子郵件驗證。使用 DNS 驗證，您可以將 CNAME 記錄新增到 DNS 組態以驗證網域擁有權。請參閱 DNS 驗證取得進一步詳細資訊。如果您無法將記錄寫入網域的公有 DNS 組態，可以使用電子郵件驗證取代 DNS 驗證。使用電子郵件驗證，ACM 會傳送電子郵件給已註冊的網域擁有者，該擁有者或授權代表可以針對憑證請求中的每個網域名稱核准發行憑證。請參閱電子郵件驗證取得進一步詳細資訊。

我的公有憑證應使用何種驗證方法：DNS 或電子郵件？

如果您能夠變更網域的 DNS 組態，建議您使用 DNS 驗證。無法收到 ACM 驗證電子郵件的客戶，以及使用網域註冊機構而未在 WHOIS 發布網域擁有者電子郵件聯絡資訊的客戶，應使用 DNS 驗證。如果您無法修改 DNS 組態，則應使用電子郵件驗證。

是否可將現有的公有憑證從電子郵件驗證轉換到 DNS 驗證？

否，不過您可以從 ACM 請求一個全新的免費憑證，然後為新的憑證選擇 DNS 驗證。

發行公有憑證需要多久的時間？

從驗證憑證請求中所有網域名稱到發行憑證的時間可能需要數小時或更長的時間。

請求公有憑證會發生什麼情況？

發出請求時，ACM 會根據您選擇 DNS 或電子郵件驗證方法，嘗試驗證憑證請求中每個網域名稱的擁有權和控制權。在 ACM 嘗試驗證您擁有或可控制網域的這段期間，憑證請求的狀態會是「等待驗證」。如需有關驗證程序的詳細資訊，請參閱下方的 DNS 驗證和電子郵件驗證小節。驗證憑證請求中所有網域名稱之後，可能需要數小時或更長的時間才會發行憑證。發行憑證之後，憑證請求的狀態變更為已發行，接著就能將該憑證用在與 ACM 整合的其他 AWS 服務。

ACM 發行公有憑證前，是否會檢查 DNS 憑證授權單位授權 (CAA) 記錄？

是。DNS 憑證授權機構授權 (CAA) 記錄允許網域擁有者指定授權哪些憑證授權機構發行其網域憑證。請求 ACM 憑證時，AWS Certificate Manager 會在 DNS 區域組態尋找網域的 CAA 記錄。如果找不到 CAA 記錄，Amazon 可以針對您的網域發行憑證。大部分客戶屬於這一類。如果您的 DNS 組態包含 CAA 記錄，該記錄必須指定以下其中一個 CA，Amazon 才能發行您網域的憑證：amazon.com、amazontrust.com、awstrust.com 或 amazonaws.com。如需詳細資訊，請參閱 AWS Certificate Manager User Guide 中的 Configure a CAA Record 或 Troubleshooting CAA Problems 。

什麼是 DNS 驗證？

使用 DNS 驗證，您可以將 CNAME 記錄新增到 DNS 組態以驗證網域擁有權。從 ACM 請求公有 SSL/TLS 憑證時，DNS 驗證可讓您輕鬆證明您擁有網域。

DNS 驗證有哪些優點？

使用 DNS 驗證可輕鬆驗證您擁有或可控制網域，以便取得 SSL/TLS 憑證。如果使用 DNS 驗證，只要將 CNAME 記錄寫入 DNS 組態就能建立對網域名稱的控制。若要簡化 DNS 驗證程序，如果您使用 Amazon Route 53 管理 DNS 記錄，則 ACM 管理主控台可代您設定 DNS 設定。如此一來，只要按幾下滑鼠即可輕鬆建立對網域名稱的控制。設定好 CNAME 記錄之後，只要 DNS 驗證記錄保留在原處，ACM 就能自動續約使用中的憑證 (與其他 AWS 資源關聯)。續約完全自動，您無須執行任何動作。

誰應該使用 DNS 驗證？

透過 ACM 請求憑證和有能力變更請求之網域的 DNS 組態的任何人都應考慮使用 DNS 驗證。

ACM 是否仍然支援電子郵件驗證？

是。ACM 持續為無法變更 DNS 組態的客戶支援電子郵件驗證。

要將哪些記錄新增到 DNS 組態才能驗證網域？

您必須針對要驗證的網域新增 CNAME 記錄。例如，要驗證 www.example.com 這個名稱，要將 CNAME 記錄新增到 example.com 的區域。您新增的記錄包含 ACM 專為您的網域和 AWS 帳戶產生的唯一字符。您可從 ACM 取得 CNAME 記錄的兩個部分 (名稱和標籤)。如需進一步指示，請參考 ACM 使用者指南。

安全、身分及合規›
AWS Certificate Manager›
常見問答集

AWS Certificate Manager 常見問答集

後續步驟

AWS 解決方案

進一步了解 AWS Private Certificate Authority

造訪頁面

Console

開始在 AWS 管理主控台使用 AWS Certificate Manager 進行建置

開始在主控台進行建置

AWS Certificate Manager 常見問答集

頁面主題

後續步驟

進一步了解 AWS Private Certificate Authority

開始在 AWS 管理主控台使用 AWS Certificate Manager 進行建置

結束對 Internet Explorer 的支援