Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Minta sertifikat untuk penyewa CloudFront distribusi Anda
Saat Anda membuat penyewa distribusi, penyewa mewarisi sertifikat bersama AWS Certificate Manager (ACM) dari distribusi multi-tenant. Sertifikat bersama ini menyediakan HTTPS untuk semua penyewa yang terkait dengan distribusi multi-tenant.
Saat Anda membuat atau memperbarui penyewa CloudFront distribusi untuk menambahkan domain, Anda dapat menambahkan CloudFront sertifikat terkelola dari ACM. CloudFront kemudian mendapatkan HTTP-validated sertifikat dari ACM atas nama Anda. Anda dapat menggunakan sertifikat ACM tingkat penyewa ini untuk konfigurasi domain khusus. CloudFront menyederhanakan alur kerja pembaruan untuk membantu menjaga sertifikat tetap mutakhir dan pengiriman konten yang aman tanpa gangguan.
**catatan**
Anda memiliki sertifikat, tetapi * hanya * dapat digunakan dengan CloudFront sumber daya dan kunci pribadi * tidak dapat * diekspor.
Anda dapat meminta sertifikat saat membuat atau memperbarui penyewa distribusi.
## Pilih cara menyajikan token validasi sertifikat
Saat Anda meminta sertifikat terkelola untuk penyewa distribusi melalui API atau AWS CLI, tentukan `ValidationTokenHost` di`ManagedCertificateRequest`. Pilih nilai berdasarkan siapa yang melayani token validasi HTTP.
Kedua opsi meminta sertifikat CloudFront-managed ACM. Parameter hanya mengontrol di mana token validasi disajikan.
CloudFront-hosted (`cloudfront`)
CloudFront secara otomatis melayani token validasi HTTP. Pilih opsi ini ketika domain tidak memiliki lalu lintas yang ada, atau ketika Anda dapat mengarahkan DNS-nya ke CloudFront segera.
Self-hosted (`self-hosted`)
Anda melayani token validasi HTTP dari infrastruktur yang ada. Pilih opsi ini saat Anda memigrasikan domain dengan lalu lintas yang ada. Sertifikat dapat dikeluarkan sebelum Anda mengarahkan DNS ke CloudFront. Anda dapat mengunggah file token ke server yang ada, atau mengonfigurasi pengalihan HTTP 301 (permanen) yang meneruskan permintaan validasi ke titik akhir validasi ACM.
Untuk petunjuk tentang menyelesaikan pengaturan kepemilikan domain, lihat[Penyiapan domain lengkap](#complete-domain-ownership). Jika Anda memilih`cloudfront`, pilih ** Saya tidak memiliki lalu lintas**. Jika Anda memilih`self-hosted`, pilih ** Saya memiliki lalu lintas yang ada**.
Untuk informasi selengkapnya tentang nilai API, lihat [ ManagedCertificateRequest ](https://docs.aws.amazon.com/cloudfront/latest/APIReference/API_ManagedCertificateRequest.html) di Refer * CloudFront ensi API*.
**Topics**
+ [Pilih cara menyajikan token validasi sertifikat](#managed-cert-modes)
+ [Tambahkan domain dan sertifikat (penyewa distribusi)](#vanity-domain-tls-tenant)
+ [Penyiapan domain lengkap](#complete-domain-ownership)
+ [Arahkan domain ke CloudFront](#point-domains-to-cloudfront)
+ [Pertimbangan domain (penyewa distribusi)](#tenant-domain-considerations)
+ [Domain wildcard (penyewa distribusi)](#tenant-wildcard-domains)
## Tambahkan domain dan sertifikat (penyewa distribusi)
Prosedur berikut menunjukkan cara menambahkan domain dan memperbarui sertifikat untuk penyewa distribusi.
**Untuk menambahkan domain dan sertifikat (penyewa distribusi)**
1. Masuk ke Konsol Manajemen AWS dan buka CloudFront konsol di[https://console.aws.amazon.com/cloudfront/v4/home](https://console.aws.amazon.com/cloudfront/v4/home).
1. Di bawah ** SaaS**, pilih Penyewa ** Distribusi**.
1. Cari penyewa distribusi. Gunakan menu dropdown di bilah pencarian untuk memfilter berdasarkan domain, nama, ID distribusi, ID sertifikat, ID grup koneksi, atau ID ACL web.
1. Pilih nama penyewa distribusi.
1. Untuk ** Domain**, pilih ** Kelola domain**.
1. Untuk ** Sertifikat**, pilih apakah Anda ingin sertifikat TLS K ** ustom ** untuk penyewa distribusi Anda. Sertifikat memverifikasi apakah Anda berwenang untuk menggunakan nama domain. Sertifikat harus ada di Wilayah AS Timur (Virginia Utara).
1. Untuk ** Domain**, pilih ** Tambahkan domain ** dan masukkan nama domain. Tergantung pada domain Anda, pesan berikut akan muncul di bawah nama domain yang Anda masukkan.
+ Domain ini dicakup oleh sertifikat.
+ Domain ini dicakup oleh sertifikat, menunggu validasi.
+ Domain ini tidak tercakup oleh sertifikat. (Ini berarti Anda harus memverifikasi kepemilikan domain.)
1. Pilih Per ** barui penyewa distribusi**.
Pada halaman detail penyewa, di bawah ** Dom ** ain, Anda dapat melihat bidang berikut:
+ **Kepemilikan domain ** — Status kepemilikan domain. Sebelum CloudFront dapat menyajikan konten, kepemilikan domain Anda harus diverifikasi dengan menggunakan validasi sertifikat TLS.
+ **Status DNS ** — Catatan DNS domain Anda harus mengarah ke CloudFront untuk merutekan lalu lintas dengan benar.
1. Jika kepemilikan domain Anda tidak diverifikasi, pada halaman detail penyewa, di bawah ** Domain**, pilih Penyi ** apan domain ** lengkap, lalu selesaikan prosedur berikut untuk mengarahkan catatan DNS ke nama CloudFront domain Anda.
## Penyiapan domain lengkap
Ikuti prosedur ini untuk memverifikasi bahwa Anda memiliki domain untuk penyewa distribusi Anda. Tergantung pada domain Anda, pilih salah satu prosedur berikut.
**catatan**
Jika domain Anda sudah diarahkan CloudFront dengan catatan alias Amazon Route 53, Anda harus menambahkan catatan DNS TXT Anda `_cf-challenge.` di depan nama domain. Catatan TXT ini memverifikasi bahwa nama domain Anda ditautkan ke CloudFront. Ulangi langkah ini untuk setiap domain. Berikut ini menunjukkan cara memperbarui catatan TXT Anda:
Nama rekaman: `_cf-challenge.{{DomainName}}`
Jenis rekaman: `TXT`
Nilai rekam: `{{CloudFrontRoutingEndpoint}}`
Misalnya, catatan TXT Anda mungkin terlihat seperti: `_cf-challenge.example.com TXT d111111abcdef8.cloudfront.net`
Anda dapat menemukan titik akhir per CloudFront utean Anda di konsol di halaman detail penyewa distribusi atau menggunakan tindakan [ ListConnectionGroups ](https://docs.aws.amazon.com/cloudfront/latest/APIReference/API_ListConnectionGroups.html) API di Refer * ensi CloudFront API Amazon * untuk menemukannya.
**Tip**
Jika Anda penyedia SaaS dan Anda ingin mengizinkan penerbitan sertifikat tanpa mengharuskan pelanggan (penyewa) untuk menambahkan catatan TXT langsung ke DNS mereka, lakukan hal berikut:
Jika Anda memiliki domain`example-saas-provider.com`, tetapkan subdomain ke penyewa Anda, seperti `customer-123.example-saas-provider.com`
Di DNS Anda, tambahkan catatan T `_cf-challenge.customer-123.example-saas-provider.com TXT d111111abcdef8.cloudfront.net` XT ke konfigurasi DNS Anda.
Selanjutnya, pelanggan Anda (penyewa) kemudian dapat memperbarui catatan DNS mereka sendiri untuk memetakan nama domain mereka ke subdomain yang Anda berikan.
`www.customer-domain.com CNAME customer-123.example-saas-provider.com`
------
#### [ I have existing traffic ]
Pilih opsi ini jika domain Anda tidak dapat mentolerir waktu henti. Anda harus memiliki akses ke origin/web server Anda. Gunakan prosedur berikut untuk memvalidasi kepemilikan domain.
**Untuk menyelesaikan pengaturan domain saat Anda memiliki lalu lintas yang ada**
1. Untuk ** Tentukan lalu lintas web Anda**, pilih ** Saya memiliki lalu lintas yang ada ** dan kemudian pilih Ber ** ikutnya**.
1. Untuk ** Verifikasi kepemilikan domain**, pilih salah satu opsi berikut:
+ **Gunakan sertifikat yang ada ** — Cari sertifikat ACM yang ada atau masukkan sertifikat ARN yang mencakup domain terdaftar.
+ **Pengunggahan file manual ** — Pilih apakah Anda memiliki akses langsung untuk mengunggah file ke server web Anda.
Untuk setiap domain, buat file teks biasa yang berisi token validasi Anda dari lokasi ** Token ** dan unggah ke asal Anda di jalur ** File yang ditentukan ** di server Anda yang ada. Jalur ke file ini mungkin terlihat seperti contoh berikut:`/.well-known/pki-validation/acm_9c2a7b2ec0524d09fa6013efb73ad123.txt`. Setelah Anda menyelesaikan langkah itu, ACM memverifikasi token dan kemudian mengeluarkan sertifikat TLS untuk domain.
+ **Pengal ** ihan HTTP — Pilih jika Anda tidak memiliki akses langsung untuk mengunggah file ke server web Anda, atau jika Anda menggunakan layanan CDN atau proxy.
Untuk setiap domain, buat pengalihan 301 di server yang ada. Salin jalur terkenal di bawah ** Redirect from ** dan arahkan ke titik akhir sertifikat yang ditentukan di bawah ** Redirect to**. Pengalihan Anda mungkin terlihat seperti contoh berikut:
```
If the URL matches: example.com/.well-known/pki-validation/leabe938a4fe077b31e1ff62b781c123.txt
Then the settings are:Forwarding URL
Then 301 Permanent Redirect:To validation.us-east-1.acm-validations.aws/123456789012/.well-known/pki-validation/leabe938a4fe077b31e1ff62b781c123.txt
```
**catatan**
Anda dapat memilih ** Periksa status sertifikat ** untuk memverifikasi kapan ACM mengeluarkan sertifikat untuk domain.
1. Pilih **Berikutnya**.
1. Selesaikan langkah-langkah untuk[Arahkan domain ke CloudFront](#point-domains-to-cloudfront).
------
#### [ I don't have traffic ]
Pilih opsi ini jika Anda menambahkan domain baru. CloudFront akan mengelola validasi sertifikat untuk Anda.
**Untuk menyelesaikan pengaturan domain jika Anda tidak memiliki lalu lintas**
1. Untuk ** Tentukan lalu lintas web Anda**, pilih ** Saya belum memiliki lalu lintas**.
1. Untuk setiap nama domain, selesaikan langkah-langkah untuk[Arahkan domain ke CloudFront](#point-domains-to-cloudfront).
1. Setelah memperbarui catatan DNS untuk setiap nama domain, pilih Ber ** ikutnya**.
1. Tunggu sertifikat dikeluarkan.
**catatan**
Anda dapat memilih ** Periksa status sertifikat ** untuk memverifikasi kapan ACM mengeluarkan sertifikat untuk domain.
1. Pilih **Kirim**.
------
## Arahkan domain ke CloudFront
Perbarui catatan DNS Anda untuk merutekan lalu lintas dari setiap domain ke titik akhir CloudFront routing. Anda dapat memiliki beberapa nama domain, tetapi semuanya harus diselesaikan ke titik akhir ini.
**Untuk mengarahkan domain ke CloudFront**
1. Salin nilai titik akhir CloudFront routing, seperti d111111abcdef8.cloudfront.net.
1. Perbarui catatan DNS Anda untuk merutekan lalu lintas dari setiap domain ke titik akhir CloudFront routing.
1. Masuk ke registrar domain atau konsol manajemen penyedia DNS Anda.
1. Arahkan ke bagian manajemen DNS untuk domain Anda.
+ **Untuk subdomain ** — Buat catatan CNAME. Contoh:
+ **Nama ** — Subdomain Anda (seperti `www` atau`app`)
+ **Nilai/Target ** - Titik akhir CloudFront routing
+ **Jenis rekaman ** - CNAME
+ **TTL ** - 3600 (atau apa pun yang sesuai untuk kasus penggunaan Anda)
+ **Untuk apex/root domain ** — Ini memerlukan konfigurasi DNS yang unik, karena catatan CNAME standar tidak dapat digunakan pada tingkat domain root atau apex. Karena sebagian besar penyedia DNS tidak mendukung catatan ALIAS, sebaiknya buat catatan ALIAS di Route 53. Contoh:
+ **Nama ** — Domain apex Anda (seperti`example.com`)
+ **Jenis rekaman ** - A
+ **Alias ** — Ya
+ **Target alias ** — Titik akhir per CloudFront utean Anda
+ **Kebijakan perutean ** - Sederhana (atau apa pun yang sesuai untuk kasus penggunaan Anda)
1. Verifikasi bahwa perubahan DNS telah menyebar. (Ini biasanya terjadi ketika TTL kedaluwarsa. Terkadang bisa memakan waktu 24-48 jam.) Gunakan alat seperti `dig` atau`nslookup`.
```
dig www.example.com
# Should eventually return a CNAME pointing to your CloudFront routing endpoint
```
1. Kembali ke CloudFront konsol dan pilih K ** irim**. Saat domain Anda aktif, CloudFront perbarui status domain untuk menunjukkan bahwa domain Anda siap melayani lalu lintas.
Untuk informasi selengkapnya, lihat dokumentasi untuk penyedia DNS Anda:
+ [Cloudflare ](https://developers.cloudflare.com/dns/manage-dns-records/how-to/create-dns-records/)
+ [Cloud DNS ](https://www.cloudns.net/wiki/article/9/)
+ [DNSederhana ](https://support.dnsimple.com/categories/dns/)
+ [Gandi.net](https://www.gandi.net/)
+ [GoDaddy](https://www.godaddy.com/help/manage-dns-records-680)
+ [Google Cloud DNS ](https://cloud.google.com/dns/docs/records)
+ [Namecheap ](https://www.namecheap.com/support/knowledgebase/article.aspx/767/10/how-to-change-dns-for-a-domain/)
## Pertimbangan domain (penyewa distribusi)
Ketika domain aktif, kontrol domain telah ditetapkan dan CloudFront akan menanggapi semua permintaan pemirsa ke domain ini. Setelah diaktifkan, domain tidak dapat dinonaktifkan atau diubah menjadi status tidak aktif. Domain tidak dapat dikaitkan dengan CloudFront sumber daya lain saat sudah digunakan. Untuk mengaitkan domain dengan distribusi lain, gunakan [ UpdateDomainAssociation ](https://docs.aws.amazon.com/cloudfront/latest/APIReference/API_UpdateDomainAssociation.html) permintaan untuk memindahkan domain dari satu CloudFront sumber daya ke sumber daya lainnya.
Saat domain tidak aktif, tidak CloudFront akan menanggapi permintaan pemirsa ke domain. Saat domain tidak aktif, perhatikan hal berikut:
+ Jika Anda memiliki permintaan sertifikat yang tertunda, CloudFront akan menanggapi permintaan untuk jalur yang terkenal. Sementara permintaan tertunda, domain tidak dapat dikaitkan dengan CloudFront sumber daya lainnya.
+ Jika Anda tidak memiliki permintaan sertifikat yang tertunda CloudFront , tidak akan menanggapi permintaan untuk domain. Anda dapat mengaitkan domain dengan CloudFront sumber daya lain.
+ Anda hanya dapat memiliki * satu permintaan sertifikat yang tertunda * per penyewa distribusi. Sebelum Anda dapat meminta sertifikat lain untuk domain tambahan, Anda harus membatalkan permintaan tertunda yang ada. Membatalkan permintaan sertifikat yang ada tidak menghapus sertifikat ACM terkait. Anda dapat menghapusnya dengan menggunakan API ACM.
+ Jika Anda menerapkan sertifikat baru ke penyewa distribusi Anda, ini akan memisahkan sertifikat sebelumnya. Anda dapat menggunakan kembali sertifikat untuk mencakup domain untuk penyewa distribusi lain.
Seperti halnya pembaruan untuk DNS-validated sertifikat, Anda akan diberi tahu ketika pembaruan sertifikat berhasil. Namun, Anda tidak perlu melakukan hal lain. CloudFront akan mengelola pembaruan sertifikat untuk domain Anda secara otomatis.
**catatan**
Anda tidak perlu memanggil operasi API ACM untuk membuat atau memperbarui sumber daya sertifikat Anda. Anda dapat mengelola sertifikat Anda dengan menggunakan operasi [ CreateDistributionTenant ](https://docs.aws.amazon.com/cloudfront/latest/APIReference/API_CreateDistributionTenant.html) dan [ UpdateDistributionTenant ](https://docs.aws.amazon.com/cloudfront/latest/APIReference/API_UpdateDistributionTenant.html) API untuk menentukan detail permintaan sertifikat terkelola Anda.
**catatan**
**Kompatibilitas batasan geografis ** — CloudFront validasi sertifikat terkelola kompatibel dengan batasan geografis. Saat Anda mengaktifkan pembatasan geografis pada distribusi yang menggunakan sertifikat terkel CloudFront ola, permintaan validasi dikecualikan dari aturan pembatasan geografis. Otoritas Sertifikat memverifikasi kepemilikan domain dari berbagai perspektif jaringan yang terdistribusi secara geografis (Multi Perspektif Penerbitan Coroboration) untuk melindungi dari pembajakan BGP. CloudFront memastikan permintaan validasi ini berhasil terlepas dari negara mana yang Anda blokir atau izinkan.
Tidak ada tindakan yang diperlukan untuk menggunakan fungsi ini. Jika sebelumnya Anda menghapus batasan geografis sebagai solusi untuk kegagalan validasi sertifikat, Anda dapat menerapkannya kembali dengan aman.
## Domain wildcard (penyewa distribusi)
Domain wildcard didukung untuk penyewa distribusi dalam situasi berikut:
+ Ketika wildcard disertakan dalam sertifikat bersama yang diwarisi dari distribusi multi-tenant induk
+ Saat Anda menggunakan sertifikat TLS kustom yang valid yang ada untuk penyewa distribusi Anda