Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Convalida del dominio ACME

Le risorse di convalida dei domini ACME pre-autorizzano per quali domini un endpoint ACME può emettere certificati. A differenza della convalida dei domini ACM standard (che viene impostata come parte di una richiesta di certificato), le convalide dei domini ACME sono risorse persistenti che l'amministratore PKI configura in anticipo. Questa separazione consente ai proprietari delle applicazioni di richiedere certificati senza dover eseguire autonomamente la convalida del dominio.

Ogni convalida del dominio richiede un record CNAME in DNS. Si tratta dello stesso tipo di record CNAME utilizzato per la convalida DNS ACM standard. Tuttavia, le convalide dei domini ACME sono specifiche per i singoli endpoint. Endpoint diversi richiedono record CNAME separati, anche per lo stesso dominio.

In che modo la convalida del dominio ACME si collega alla convalida ACM standard

Entrambi i meccanismi utilizzano lo stesso formato di record CNAME e lo stesso scopo: dimostrare la proprietà del dominio inserendo un record specifico nel DNS, come descritto in. AWS Certificate Manager Convalida DNS In entrambi i casi, il CNAME delega la convalida continua del dominio ad ACM. Poiché il record rimanda a una destinazione gestita da ACM, ACM può riconvalidare la proprietà del dominio nel tempo senza ulteriori azioni da parte dell'utente. Questo è ciò che consente ad ACM di rinnovare automaticamente i certificati. L'elenco seguente descrive le differenze principali:

Ambito di convalida del dominio

Quando si crea una convalida del dominio, si configura un ambito che controlla quali certificati possono essere emessi utilizzando questa convalida. L'ambito ha tre impostazioni indipendenti. Per le definizioni di dominio apex e sottodominio, vedere. Nomi di dominio

È possibile combinare queste impostazioni. La tabella seguente mostra esempi di combinazioni di ambiti.

Status, ciclo di vita

Dopo aver creato una convalida del dominio, ACM tenta di verificare il record CNAME per un massimo di 72 ore. Se il record non viene rilevato entro questo periodo, la convalida del dominio passa allo stato. INVALID Assicurati di effettuare il provisioning del record CNAME immediatamente dopo aver creato la convalida del dominio.

La convalida di un dominio ACME passa attraverso i seguenti stati:

Motivi del fallimento

Creazione di una convalida del dominio

Puoi creare una convalida del dominio ACME utilizzando la console ACM o la CLI. AWS

Per creare una convalida del dominio (console)

Per creare una convalida del dominio (AWS CLI)

Esegui il seguente comando per creare una convalida del dominio ACME:

aws acm create-acme-domain-validation \
    --acme-endpoint-arn arn:aws:acm:region:111122223333:acme-endpoint/00000000-0000-0000-0000-000000000000 \
    --domain-name example.com \
    --prevalidation-options '{
        "DnsPrevalidation": {
            "DomainScope": {
                "ExactDomain": "ENABLED",
                "Subdomains": "ENABLED",
                "Wildcards": "DISABLED"
            },
            "HostedZoneId": "Z1234567890"
        }
    }'

Per verificare lo stato e ottenere i dettagli di CNAME, esegui il comando seguente:

aws acm describe-acme-domain-validation \
    --acme-domain-validation-arn arn:aws:acm:region:111122223333:acme-endpoint/00000000-0000-0000-0000-000000000000/acme-domain-validation/11111111-1111-1111-1111-111111111111

Gestione delle convalide dei domini

È possibile eseguire le seguenti operazioni di gestione sulle convalide dei domini ACME: