AWS CloudFront

總覽

AutoSSL 可以把 SSL 憑證直接部署到 Amazon CloudFront 分配。它會完成完整流程：先把憑證匯入 us-east-1 區域的 ACM，再更新分配設定。

如何管理和執行此部署，請參見 部署管理。

設定參數

在 AutoSSL 控制台新增或編輯此部署目標時，需要設定以下參數：

運作方式

AutoSSL 把憑證部署到 AWS CloudFront 分配（例如 EWH7HR80TDW90）時，會執行以下步驟：

1. 校驗分配：
   • 呼叫 AWS API（GetDistributionConfigCommand），讀取目標 CloudFront 分配（EWH7HR80TDW90）的目前設定。
   • 檢查分配繫結的備用網域（CNAME），並確認所提供的憑證涵蓋了全部這些網域。如果有繫結網域未被覆寫，會跳過部署，以免停機。
2. 匯入 ACM：
   • CloudFront 要求憑證位於 us-east-1，因此會把憑證匯入 AWS ACM 的 us-east-1 區域，並使用 ImportCertificateCommand。
   • 如果部署到多個分配，ACM 只匯入一次，並複用得到的 ARN。
3. 更新設定：
   • 呼叫 AWS API（UpdateDistributionCommand）更新 CloudFront 分配（EWH7HR80TDW90）。
   • 把新匯入的 ACM 憑證 ARN 關聯到該分配，並將 SSL 支援設定為 sni-only。

存取金鑰需求

所需權限

存取金鑰必須屬於有權讀取和更新 CloudFront 分配、並向 ACM 匯入憑證的 AWS IAM 使用者。

需要為該使用者附加 IAM 政策，至少包含以下操作：

• acm:ImportCertificate
• cloudfront:GetDistributionConfig
• cloudfront:UpdateDistribution

關於如何管理 IAM 權限，請參見 AWS IAM 文件。