本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 排除 ACME 证书自动化故障
本节介绍了 ACME 证书自动化的常见问题以及如何解决这些问题。
**Topics**
+ [控制台 “监控” 选项卡中未显示 ACME 故障](#troubleshooting-acme-monitoring)
+ [域名验证无效](#troubleshooting-acme-dv)
+ [证书颁发或吊销失败，访问被拒绝](#troubleshooting-acme-access-denied)
+ [证书申请被拒绝](#troubleshooting-acme-rejected)
+ [域名验证先前有效后，证书颁发失败，出现 DNS CNAME 错误](#troubleshooting-acme-cname-deleted)
+ [账户注册失败](#troubleshooting-acme-account)
+ [ACME 客户端等待证书时超时](#troubleshooting-acme-timeout)
## 控制台 “监控” 选项卡中未显示 ACME 故障
ACM 控制台中 ACME 端点详细信息页面上的**监控**选项卡显示证书颁发最后一步的事件，即 ACM 创建证书时（参见）。[监控 ACME 端点](acm-acme-endpoints.md#acm-acme-endpoint-monitoring)如果你的请求在该步骤之前失败，它不会出现在那里。
有些故障发生在流程的早期，例如，无效的证书、未验证的域名或端点不允许的域。您的 ACME 客户端会直接收到这些故障。
要诊断这些故障，请使用以下选项之一：
+ **检查您的 ACME 客户端日志 ** — 您的 ACME 客户端会记录服务器返回的确切错误。请查阅客户的文档，了解其日志文件的位置。
+ **启用 CloudTrail 数据事件 **-要集中查看 AWS 账户中的所有 ACME 活动以进行调试或审计，请启用 ACM ACME 端点 CloudTrail 的数据事件记录。有关这些事件的更多信息，请参阅[数据事件](acm-supported-actions-in-cloudtrail.md#ct-data-events)。
## 域名验证无效
只有在域名验证达到`VALID`状态后，ACME 终端节点才能为该域颁发证书。如果域名验证保持不变`VALIDATING`或变为`INVALID`，请检查以下内容：
+ 确认您完全按照域名验证详细信息中所示配置 CNAME 记录，包括记录名称和值。要查看所需的记录，请使用`DescribeAcmeDomainValidation`或 ACM 控制台。
+ 如果您提供了 Route 53 托管区域用于自动记录管理，请确认托管区域 ID 正确且 ACM 有权访问它。
`DescribeAcmeDomainValidation`报告指明原因的失败原因：
+ **`ACCESS_DENIED`: ** ACM 无法访问托管区域来验证或创建记录。
+ **`DOMAIN_MISMATCH`: ** CNAME 记录与预期值不匹配。
+ **`HOSTED_ZONE_NOT_FOUND`: ** 找不到指定的托管区域。
+ **`TIMED_OUT`：未**在允许的时间内检测到该记录。验证记录是否已在 DNS 中传播。
+ **`INTERNAL_FAILURE`：**出现内部错误。再试一次，如果问题仍然存在，请联系 AWS 支持部门。
有关更多信息，请参阅 [ACME 域名验证](acm-acme-domain-validation.md)。
## 证书颁发或吊销失败，访问被拒绝
ACM 使用与客户外部账户绑定 (EAB) 关联的 IAM 角色来授权发放和撤销。如果这些操作因访问被拒绝错误而失败，请检查以下内容：
+ 该角色的信任策略允许 ACME 服务主体 (`acm-acme.amazonaws.com`) 执行`sts:AssumeRole``sts:TagSession`、和`sts:SetSourceIdentity`。如果您添加了`sts:SourceIdentity`或`sts:RoleSessionName`条件，请确认它允许 ACM 使用的值。
+ 该角色允许`acm:RequestCertificate`发放或撤销`acm:RevokeCertificate`。
+ 无 AWS 组织服务控制策略 (SCP) 拒绝该操作。SCP 在发行时强制执行。
有关更多信息，请参阅 [用于 ACME 证书自动化的 IAM](security-iam-acme.md)。
## 证书申请被拒绝
如果 ACME 客户的证书申请被拒绝，请检查以下内容：
+ 请求的域名由端点上`VALID`状态的域名验证覆盖，并且验证的范围（确切的域名、子域名或通配符）允许请求的名称。有关更多信息，请参阅 [域名验证范围](acm-acme-domain-validation.md#acm-acme-dv-scope)。
+ 证书的密钥算法是端点允许的密钥算法之一。有关更多信息，请参阅 [端点配置](acm-acme-endpoints.md#acm-acme-endpoint-configuration)。
## 域名验证先前有效后，证书颁发失败，出现 DNS CNAME 错误
ACME 域名验证要求其 CNAME 记录在使用验证期间一直保留在 DNS 中。如果在域名验证达到`VALID`状态后删除了 CNAME，则该域的证书订单可能会在颁发时失败，即使域名验证资源本身之前已得到确认。
发生这种情况时，ACME 客户端会看到订单转换为`invalid`状态，并且订单的`error`字段带有 a `type` 的`urn:ietf:params:acme:error:dns`值`detail`，其中列出了无法解析的 CNAME 记录。例如：
```
{
"status": "invalid",
"error": {
"type": "urn:ietf:params:acme:error:dns",
"detail": "DNS CNAME records not found: [{{_a1b2c3d4e5f67890abcdef1234567890.example.com.}}]"
},
"identifiers": [{ "type": "dns", "value": "{{example.com}}" }],
"authorizations": ["https://acm-acme-enroll.{{region}}.api.aws/{{00000000-0000-0000-0000-000000000000}}/authz/{{a1b2c3d4-5678-90ab-cdef-EXAMPLE11111}}"],
"finalize": "https://acm-acme-enroll.{{region}}.api.aws/{{00000000-0000-0000-0000-000000000000}}/order/{{a1b2c3d4-5678-90ab-cdef-EXAMPLE22222}}/finalize",
"expires": "2026-06-18T13:49:02Z"
}
```
ACME 客户会在自己的输出中显示订单的错误。例如，Certbot 退出时出现以下错误：
```
An unexpected error occurred:
DNS CNAME records not found: [{{_a1b2c3d4e5f67890abcdef1234567890.example.com.}}]
```
如果您已将 CloudTrail 跟踪或事件数据存储配置为记录 ACM 数据事件，则故障也会显示在`IssueCertificate` CloudTrail 事件下方`serviceEventDetails`，使用相同的`errorType`和`errorMessage`。有关更多信息，请参阅 [日志记录中 CloudTrail 支持 ACM API 操作](acm-supported-actions-in-cloudtrail.md)。
要解决此问题，请恢复错误中列出的 CNAME 记录。要查找域名验证所需的别名记录，请在 ACM 控制台中使用`DescribeAcmeDomainValidation`或查看域名验证。
## 账户注册失败
当 ACME 客户端使用终端节点注册账户时，请检查以下内容：
+ 客户在注册期间提供外部账户绑定 (EAB) 凭证（密钥标识符和 HMAC 密钥）。终端需要这些证书。
+ 如果终端需要联系信息，则客户端将在注册期间提供联系人电子邮件地址。有关更多信息，请参阅 [外部账户绑定](acm-acme-eab.md)。
## ACME 客户端等待证书时超时
通过 ACM ACME 端点颁发证书最多可能需要两分钟。如果您的 ACME 客户端在收到证书之前超时，请将该客户端的颁发超时延长至至少 120 秒（2 分钟）。
对于 Certbot，请使用以下标志：`--issuance-timeout`
```
certbot certonly --issuance-timeout 120 ...
```
对于其他 ACME 客户端，请查阅您的客户端文档，了解等效的超时配置。