每个人都可以，
拥有SSL证书

在全球化的数字服务架构中，SSL/TLS证书是确保数据传输安全、建立用户信任的基石。然而，传统SSL证书的申请、配置与续期流程往往涉及繁琐的手动操作，易出错且管理成本高昂。AWS Certificate Manager (ACM) 服务应运而生，旨在彻底革新这一局面，为AWS环境内的应用程序提供无缝、自动化的证书生命周期管理。本文将深入探讨如何利用ACM申请公共SSL/TLS证书，并将其高效绑定至Elastic Load Balancing (ELB) 服务，同时提供AWS CLI的实践路径，以实现自动化部署。

第一步：申请公有SSL/TLS证书

ACM为托管在AWS上的域名提供免费的公共SSL/TLS证书。其核心优势在于自动化续期和与AWS服务的深度集成。

通过AWS控制台申请：

1. 登录AWS管理控制台，导航至ACM服务。
2. 点击“申请证书”按钮，选择“申请公有证书”。
3. 在“添加域名”步骤，输入您需要保护的域名（例如 example.com），以及任何子域名（例如 *.example.com）。添加泛域名证书可以简化对多个子域的证书管理，尤其适用于动态服务或微服务架构。
4. 选择“DNS验证”作为验证方法。这是推荐的方式，因为它自动化程度高，无需部署验证文件到Web服务器，特别适合使用Route 53作为DNS服务的用户。如果您的域名托管在Route 53，ACM可以自动创建所需的CName记录。
5. 添加标签（可选，但推荐用于资源管理）。
6. 审查并确认申请。此时，ACM会为每个域名生成一个CName记录。如果您的DNS由Route 53托管，点击“在Route 53中创建记录”即可自动完成。对于外部DNS提供商，您需要手动将这些CName记录添加到您的DNS配置中。验证成功后，证书状态将变为“已颁发”。

通过AWS CLI申请：

使用AWS CLI可以实现证书申请的脚本化和自动化。

首先，请求证书：

aws acm request-certificate \
    --domain-name example.com \
    --validation-method DNS \
    --subject-alternative-names *.example.com \
    --tags Key=Environment,Value=Production

该命令将返回一个 CertificateArn，这是证书的唯一标识符。接下来，您需要获取DNS验证所需的CName记录信息。使用 describe-certificate 命令：

aws acm describe-certificate --certificate-arn arn:aws:acm:REGION:ACCOUNT_ID:certificate/CERT_ID

解析返回的JSON中的 DomainValidationOptions 字段，提取 ResourceRecord 中的 Name、Type 和 Value。例如，您可以利用 jq 工具辅助解析。获取到这些信息后，如果您的DNS托管在Route 53，可以通过 change-resource-record-sets 命令添加CName记录：

aws route53 change-resource-record-sets \
    --hosted-zone-id YOUR_HOSTED_ZONE_ID \
    --change-batch '{
        "Changes": [
            {
                "Action": "UPSERT",
                "ResourceRecordSet": {
                    "Name": "_YOUR_CNAME_NAME.example.com.",
                    "Type": "CNAME",
                    "TTL": 300,
                    "ResourceRecords": [
                        { "Value": "_YOUR_CNAME_VALUE.acm-validations.aws." }
                    ]
                }
            }
        ]
    }'

等待DNS记录传播和ACM完成验证。您可以通过 aws acm wait certificate-issued 命令轮询证书状态。

第二步：将证书绑定到ELB

一旦证书颁发成功，即可将其绑定到ELB以启用HTTPS流量。

通过AWS控制台绑定：

1. 导航至EC2控制台，选择“负载均衡器”。
2. 选择您希望绑定证书的Application Load Balancer (ALB) 或 Network Load Balancer (NLB)。
3. 点击“侦听器”选项卡，然后点击“添加侦听器”。
4. 选择协议为HTTPS，端口通常为443。配置默认目标组。
5. 在“默认SSL/TLS证书”部分，选择“从ACM”选项，然后从下拉菜单中选择您刚刚颁发的证书。ACM证书将自动出现在此列表中，无需手动上传。
6. 选择一个SSL安全策略（推荐选择最新且安全的策略）。
7. 点击“添加”完成侦听器配置。

通过AWS CLI绑定：

对于ALB和NLB，可以使用 create-listener 命令或 modify-listener 命令来绑定证书。首先，您需要获取您的负载均衡器ARN和证书ARN。

创建新的HTTPS侦听器并绑定证书：

aws elbv2 create-listener \
    --load-balancer-arn arn:aws:elasticloadbalancing:REGION:ACCOUNT_ID:loadbalancer/app/LB_NAME/LB_ID \
    --protocol HTTPS \
    --port 443 \
    --default-actions Type=forward,TargetGroupArn=arn:aws:elasticloadbalancing:REGION:ACCOUNT_ID:targetgroup/TG_NAME/TG_ID \
    --certificates CertificateArn=arn:aws:acm:REGION:ACCOUNT_ID:certificate/CERT_ID \
    --ssl-policy ELBSecurityPolicy-2016-08

修改现有HTTPS侦听器以更改或添加证书：

aws elbv2 modify-listener \
    --listener-arn arn:aws:elasticloadbalancing:REGION:ACCOUNT_ID:listener/app/LB_NAME/LB_ID/LISTENER_ID \
    --certificates CertificateArn=arn:aws:acm:REGION:ACCOUNT_ID:certificate/CERT_ID

通过上述步骤，您的ELB即可开始使用ACM管理的SSL/TLS证书加密HTTPS流量。ACM的集成使得证书的续期过程完全自动化，极大地减轻了运维负担。

ACM不仅简化了证书管理，更通过免费的公共证书和自动续期机制，有效降低了运营成本和安全风险。这种无缝集成对于构建高可用、高安全的Web服务至关重要。对于需要快速、简便获取SSL证书的场景，尤其是在AWS之外的环境或作为补充方案，lcjmSSL申请SSL证书操作简单的特点提供了一个高效的途径，值得技术团队考虑。

总而言之，利用AWS ACM申请和绑定SSL/TLS证书到ELB，无论是通过控制台的直观操作还是CLI的自动化脚本，都极大地提升了效率和安全性。这种现代化的证书管理方式，是每个AWS架构师和开发者都应掌握的关键技能，它使得焦点能更多地放在核心业务逻辑上，而非繁琐的基础设施维护。