本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
设置为使用 AWS Certificate Manager
与 AWS Certificate Manager (ACM) 你可以为你的配置和管理SSL/TLS证书 AWS 基于网站和应用程序。您可以使用ACM创建或导入证书，然后管理证书。你必须使用其他 AWS 用于将证书部署到您的网站或应用程序的服务。有关与集成的服务的更多信息ACM，请参阅与 ACM 集成的服务。以下各节讨论使用前需要执行的步骤ACM。
注册获取 AWS 账户
如果你没有 AWS 账户，请完成以下步骤来创建一个。
要注册 AWS 账户
按照屏幕上的说明进行操作。
在注册时，将接到一通电话，要求使用电话键盘输入一个验证码。
当你注册时 AWS 账户，一个 AWS 账户根用户已创建。root 用户可以访问所有内容 AWS 服务 以及账户中的资源。作为安全最佳实践，请为用户分配管理访问权限，并且只使用根用户来执行需要根用户访问权限的任务。
AWS 注册过程完成后会向您发送一封确认电子邮件。您可以随时前往 https://aws.amazon.com/
创建具有管理访问权限的用户
在你注册之后 AWS 账户，保护你的 AWS 账户根用户，启用 AWS IAM Identity Center，然后创建一个管理用户，这样你就不会使用 root 用户来执行日常任务。
保护你的 AWS 账户根用户
-
登录 。AWS Management Console
以账户所有者的身份选择 Root 用户并输入你的 AWS 账户 电子邮件地址。在下一页上，输入您的密码。 有关使用 root 用户登录的帮助，请参阅中以 root 用户身份登录 AWS 登录 用户指南。
-
为您的 root 用户开启多重身份验证 (MFA)。
有关说明，请参阅为您的MFA设备启用虚拟设备 AWS 账户 用户指南中的 root IAM 用户（控制台）。
创建具有管理访问权限的用户
-
启用IAM身份中心。
有关说明，请参阅启用 AWS IAM Identity Center中的 AWS IAM Identity Center 用户指南。
-
在 IAM Identity Center 中，向用户授予管理访问权限。
有关使用教程 IAM Identity Center 目录 作为您的身份来源，请参阅使用默认设置配置用户访问权限 IAM Identity Center 目录中的 AWS IAM Identity Center 用户指南。
以具有管理访问权限的用户身份登录
-
要使用您的 Ident IAM ity Center 用户登录URL，请使用您在创建 Ident IAM ity Center 用户时发送到您的电子邮件地址的登录信息。
有关使用 Ident IAM ity Center 用户登录的帮助，请参阅登录 AWS 访问中的门户 AWS 登录 用户指南。
将访问权限分配给其他用户
注册一个域名 ACM
完全限定域名 (FQDN) 是组织或个人在互联网上的唯一名称，后面是顶级域名后缀，例如.com 或.org。如果您还没有注册域名，则可以通过 Amazon Route 53 或许多其他商业注册商注册一个域名。通常，您可以转到注册商的网站，请求一个域名。域名注册通常会持续一段时间，例如一到两年，然后才必须续订。
有关使用 Amazon Route 53 注册域名的更多信息，请参阅 Amazon Route 53 开发人员指南中的使用 Amazon Route 53 注册域名。
（可选）配置CAA记录
CAA记录指定允许哪些证书颁发机构 (CAs) 为域或子域名颁发证书。创建用于的CAA记录ACM有助于CAs防止错误地为您的域名颁发证书。CAA记录不能代替您的证书颁发机构指定的安全要求，例如验证您是域名所有者的要求。
在证书申请过程中ACM验证您的域名后，它会检查是否存在CAA记录，以确保可以为您颁发证书。配置CAA记录是可选的。
配置CAA记录时，请使用以下值：
- flags
-
指定是否支持标签字段的值ACM。将此值设置为 0。
- 标签
-
tag 字段可以为以下值之一。请注意，iodef 字段目前已被忽略。
- issue
-
表示您在值字段中指定的 ACM CA 有权为您的域名或子域名颁发证书。
- issuewild
-
表示您在值字段中指定的 ACM CA 有权为您的域名或子域名颁发通配符证书。通配符证书适用于该域或子域及其所有子域。
- 值
-
此字段的值取决于 tag 字段的值。您必须用引号 ("") 将此值括起来。
- 当 tag 为 issue 时
-
value 字段包含 CA 域名称。此字段可能包含 Amazon CA 以外的 CA 的名称。但是，如果您没有指定以下四个 Amazon 之一的CAA记录CAs，则ACM无法向您的域名或子域名颁发证书：
-
amazon.com
-
amazontrust.com
-
awstrust.com
-
amazonaws.com
value 字段也可以包含分号 (;)，指示不应允许任何 CA 为您的域或子域颁发证书。如果您在某个时候决定您不再需要为某个特定的域颁发的证书，请使用此字段。
-
- 当 tag 是 issuewild 时
-
value 字段与 tag 为 issue 时的相同，只是它适用于通配符证书。
当存在不包含 ACM CA 值的 issuewil d CAA 记录时，则无法由发放通配符。ACM如果没有 is suewild 存在，但有问题CAA记录ACM，则通配符可能会由发放。ACM
例 CAA录制示例
在以下示例中，您的域名排在第一位，然后是记录类型 (CAA)。flags 字段始终为 0。tags 字段可以是 issue 或 issuewild。如果该字段为 is sue，并且您在值字段中键入 CA 服务器的域名，则CAA记录表明允许您指定的服务器颁发您请求的证书。如果您在值字段中键入分号 “;”，则CAA记录表明不允许 CA 颁发证书。CAA记录的配置因DNS提供商而异。
Domain Record type Flags Tag Value
example.com. CAA 0 issue "SomeCA.com"Domain Record type Flags Tag Value
example.com. CAA 0 issue "amazon.com"Domain Record type Flags Tag Value
example.com. CAA 0 issue "amazontrust.com"Domain Record type Flags Tag Value
example.com. CAA 0 issue "awstrust.com"Domain Record type Flags Tag Value
example.com. CAA 0 issue "amazonaws.com"Domain Record type Flags Tag Value
example.com CAA 0 issue ";"有关如何添加或修改DNS记录的更多信息，请咨询您的提供DNS商。53 号公路支持CAA记录。如果 Route 53 是您的DNS提供商，请参阅CAA格式以获取有关创建记录的更多信息。
