DNSValidierung

Das Domain Name System (DNS) ist ein Verzeichnisdienst für Ressourcen, die mit einem Netzwerk verbunden sind. Ihr DNS Anbieter unterhält eine Datenbank mit Datensätzen, die Ihre Domain definieren. Wenn Sie sich für die DNS Validierung entscheiden, werden Ihnen ein oder mehrere CNAME Datensätze zur ACM Verfügung gestellt, die zu dieser Datenbank hinzugefügt werden müssen. Diese Datensätze enthalten ein eindeutiges Schlüssel-Wert-Paar, das als Nachweis dient, dass Sie die Domain steuern.

Anmerkung

Nachdem Sie ein Zertifikat mit E-Mail-Validierung erstellt haben, können Sie nicht zur Validierung mit DNS wechseln. Um die DNS Validierung zu verwenden, löschen Sie das Zertifikat und erstellen Sie dann ein neues Zertifikat, das DNS Validierung verwendet.

Wenn Sie beispielsweise ein Zertifikat für die example.com Domain mit www.example.com einem zusätzlichen Namen anfordern, werden zwei CNAME Datensätze für Sie ACM erstellt. Jeder speziell für Ihre Domain und Ihr Konto erstellte Datensatz enthält einen Namen und einen Wert. Der Wert ist ein Alias, der auf eine AWS Domain verweist, die zur automatischen Verlängerung Ihres Zertifikats ACM verwendet wird. Die CNAME Datensätze dürfen Ihrer DNS Datenbank nur einmal hinzugefügt werden. ACMerneuert Ihr Zertifikat automatisch, solange das Zertifikat verwendet wird und Ihr CNAME Datensatz erhalten bleibt.

Wichtig

Wenn Sie Amazon Route 53 nicht zur Verwaltung Ihrer öffentlichen DNS Aufzeichnungen verwenden, wenden Sie sich an Ihren DNS Anbieter, um zu erfahren, wie Sie Datensätze hinzufügen können. Wenn Sie nicht befugt sind, die DNS Datenbank Ihrer Domain zu bearbeiten, müssen Sie stattdessen die E-Mail-Validierung verwenden.

Ohne die Überprüfung wiederholen zu müssen, können Sie zusätzliche ACM Zertifikate für Ihren vollqualifizierten Domainnamen (FQDN) anfordern, solange der CNAME Datensatz gültig ist. Das heißt, Sie können Ersatzzertifikate mit demselben Domainnamen oder Zertifikate erstellen, die verschiedene Subdomains abdecken. Da das CNAME Validierungstoken für jede AWS Region funktioniert, können Sie dasselbe Zertifikat in mehreren Regionen neu erstellen. Sie können auch ein gelöschtes Zertifikat ersetzen.

Sie können die automatische Verlängerung beenden, indem Sie entweder das Zertifikat aus dem AWS Dienst entfernen, mit dem es verknüpft ist, oder indem Sie den CNAME Datensatz löschen. Wenn Route 53 nicht Ihr DNS Anbieter ist, wenden Sie sich an Ihren Anbieter, um zu erfahren, wie Sie einen Datensatz löschen können. Wenn Route 53 Ihr Anbieter ist, finden Sie weitere Informationen unterLöschen von Ressourcendatensätzen im Route 53 Entwicklerhandbuch aus. Weitere Informationen über die verwaltete Zertifikatverlängerung finden Sie unter Verwaltete Verlängerung von ACM Zertifikaten.

Anmerkung

CNAMEDie Auflösung schlägt fehl, wenn in Ihrer DNS Konfiguration mehr als fünf miteinander verkettet CNAMEs sind. Wenn Sie eine längere Verkettung benötigen, empfehlen wirE-Mail-Validierungaus.

Wie CNAME funktionieren Aufzeichnungen ACM

Anmerkung

Dieser Abschnitt richtet sich an Kunden, die Route 53 nicht als DNS Anbieter verwenden.

Wenn Sie Route 53 nicht als Ihren DNS Anbieter verwenden, müssen Sie die von bereitgestellten CNAME Datensätze manuell ACM in die Datenbank Ihres Anbieters eingeben, normalerweise über eine Website. CNAMEDatensätze werden für eine Reihe von Zwecken verwendet, unter anderem als Umleitungsmechanismen und als Container für herstellerspezifische Metadaten. Denn ACM diese Aufzeichnungen ermöglichen die anfängliche Überprüfung des Domainbesitzes und die fortlaufende automatische Verlängerung von Zertifikaten.

Die folgende Tabelle zeigt CNAME Beispieldatensätze für sechs Domainnamen. Jeder DatensatzDatensatzname-Datensatzwert-Paar dient dazu, den Besitz von Domainnamen zu authentifizieren.

Beachten Sie in der Tabelle, dass die ersten beidenDatensatzname-DatensatzwertPaare sind gleich. Dies zeigt, dass für eine Platzhalterdomäne, z. B.*.example.com, die von erstellten Zeichenfolgen mit denen für die Basisdomäne identisch ACM sind. example.com Andernfalls wird das gekoppelteDatensatznameundDatensatzwertunterscheiden sich für jeden Domainnamen.

Beispieldatensätze CNAME
Domainname	Datensatzname	Datensatzwert	Kommentar
*.example.com	_x1.example.com.	_x2.acm-validierungen.aws.	Identisch
example.com	_x1.example.com.	_x2.acm-validierungen.aws.
www.example.com	_x3. www.example.com.	_x4.acm-validierungen.aws.	Unique
host.example.com	_x5.host.example.com.	_x6.acm-validierungen.aws.	Unique
subdomain.example.com	_x7.subdomain.example.com.	_x8.acm-validierungen.aws.	Unique
host.subdomain.example.com	_x9.host.subdomain.example.com.	_x10.acm-validierungen.aws.	Unique

Das Tool xN Werte, die auf den Unterstrich (_) folgen, sind lange Zeichenketten, die von generiert wurden. ACM Zum Beispiel

_3639ac514e785e898d2646601fa951d5.example.com.

ist repräsentativ für eine resultierendeDatensatznameaus. Der zugeordneteDatensatzwertkönnte

_98d2646601fa951d53639ac514e785e8.acm-validation.aws.

für denselben DNS Datensatz.

Anmerkung

Wenn Ihr DNS Anbieter CNAME Werte mit einem führenden Unterstrich nicht unterstützt, finden Sie weitere Informationen unter Behebung von DNS Validierungsproblemen.

Wenn Sie ein Zertifikat anfordern und die DNS Validierung angeben, ACM stellt CNAME Informationen im folgenden Format bereit:

Domainname	Datensatzname	Datensatztyp	Datensatzwert
example.com	_a79865eb4cd1a6ab990a45779b4e0b96.beispiel.com.	CNAME	_424c7224e9b0146f9a8808af955727d0.acm-validations.aws.

Der Domänenname ist dem Zertifikat FQDN zugeordnet. Datensatzname identifiziert den Datensatz eindeutig und dient als Schlüssel des Schlüssel-Wert-Paares. Datensatzwert dient als Wert des -Schlüssel-Wert-Paares.

Alle drei Werte (Domainname, Datensatzname und Datensatzwert) müssen in die entsprechenden Felder der Weboberfläche Ihres DNS Anbieters eingegeben werden, um DNS Datensätze hinzuzufügen. Anbieter sind inkonsistent in der Verarbeitung des Datensatznamens (oder nur „Name“) Feld. In einigen Fällen wird erwartet, dass Sie die gesamte Zeichenfolge bereitstellen, wie oben gezeigt. Andere Anbieter hängen den Domainnamen automatisch an die von Ihnen eingegebene Zeichenfolge an. Dies bedeutet (in diesem Beispiel), dass Sie nur

_a79865eb4cd1a6ab990a45779b4e0b96

in das Namensfeld ein. Wenn Sie dies falsch erraten und einen Datensatznamen eingeben, der einen Domainnamen enthält (z. B. .example.com), können Sie Folgendes erhalten:

_a79865eb4cd1a6ab990a45779b4e0b96.example.com.example.com.

Die Validierung schlägt in diesem Fall fehl. Daher sollten Sie versuchen, im Voraus zu bestimmen, welche Art von Eingabe Ihr Provider erwartet.

Validierung einrichten DNS

In diesem Abschnitt wird beschrieben, wie Sie ein öffentliches Zertifikat für die DNS Validierung konfigurieren.

Um die DNS Validierung in der Konsole einzurichten

Anmerkung

Bei diesem Verfahren wird davon ausgegangen, dass Sie bereits mindestens ein Zertifikat erstellt haben und dass Sie in der AWS Region arbeiten, in der Sie es erstellt haben. Wenn Sie versuchen, die Konsole zu öffnen und stattdessen der Bildschirm „Erste Verwendung“ angezeigt wird, oder wenn Sie die Konsole erfolgreich öffnen und Ihr Zertifikat nicht in der Liste angezeigt wird, vergewissern Sie sich, dass Sie die richtige Region angegeben haben.

1. Öffnen Sie die ACM-Konsole unter https://console.aws.amazon.com/acm/.

2. Wählen Sie in der Liste der Zertifikate die Zertifikat-ID eines Zertifikats mit dem Status Pending validation (Validierung ausstehend) aus, das Sie konfigurieren möchten. Daraufhin wird eine Detailseite für das Zertifikat geöffnet.

3. Führen Sie im Abschnitt Domains eines der beiden folgenden Verfahren durch:

   1. (Optional) Validieren Sie mit Route 53.

      Die aktive Schaltfläche Create record in Route 53 (Einträge in Route 53 erstellen) wird angezeigt, wenn die folgenden Bedingungen zutreffen:

      • Sie verwenden Route 53 als Ihren DNS Anbieter.

      • Sie haben die Berechtigung, in die von Route 53 gehostete Zone zu schreiben.

      • Ihr FQDN wurde noch nicht validiert.

      Anmerkung

      Wenn die Schaltfläche Datensätze in Route 53 erstellen in Route 53 deaktiviert ist oder fehlt, lesen Sie ACMDie Konsole zeigt die Schaltfläche „Datensätze in Route 53 erstellen“ nicht an.

      Wählen Sie die Schaltfläche Create records in Route 53 (Einträge in Route 53 erstellen) und dann Create records (Einträge erstellen) aus. Die Seite mit dem Status des Zertifikats sollte mit einem Statusbanner geöffnet werden, in dem die Meldung Erfolgreich erstellte DNS Datensätze angezeigt wird.

      Ihr neues Zertifikat kann noch bis zu 30 Minuten lang den Status Pending validation (Validierung ausstehend) anzeigen.

      Tipp

      Sie können nicht programmgesteuert anfordern, dass Ihr Datensatz in Route 53 ACM automatisch erstellt wird. Sie können jedoch Route 53 API aufrufen, um den Datensatz in der Route 53-Datenbank zu erstellen. AWS CLI DNS Weitere Informationen über Route 53-Datensätze finden Sie unter Arbeiten mit Ressourcendatensätzen.

   2. (Optional) Wenn Sie Route 53 nicht als Ihren DNS Anbieter verwenden, müssen Sie die CNAME Informationen abrufen und zu Ihrer DNS Datenbank hinzufügen. Auf der Detailseite für das neue Zertifikat stehen Ihnen zwei Optionen zur Verfügung:

      • Kopieren Sie die im Abschnitt Domains angezeigten CNAME Komponenten. Diese Informationen müssen manuell zu Ihrer DNS Datenbank hinzugefügt werden.

      • Wählen Sie alternativ Exportieren nach CSV. Die Informationen in der resultierenden Datei müssen manuell zu Ihrer DNS Datenbank hinzugefügt werden.

      Wichtig

      Um Validierungsprobleme zu vermeiden, überprüfen Sie diese, Wie CNAME funktionieren Aufzeichnungen ACM bevor Sie Informationen zur Datenbank Ihres DNS Anbieters hinzufügen. Bei Problemen finden Sie weitere Informationen unter Beheben Sie DNS Validierungsprobleme.

Wenn ACM der Domainname nicht innerhalb von 72 Stunden nach der Generierung eines CNAME Werts für Sie validiert werden kann, ACM ändern Sie den Zertifikatsstatus in „Timeout bei Validierung“. Der wahrscheinlichste Grund für dieses Ergebnis ist, dass Sie Ihre DNS Konfiguration nicht erfolgreich mit dem ACM generierten Wert aktualisiert haben. Um dieses Problem zu beheben, müssen Sie ein neues Zertifikat anfordern, nachdem Sie die CNAME Anweisungen gelesen haben.