新增替代網域名稱 (CNAME) 以使用自訂 URL - Amazon CloudFront
新增替代網域名稱將替代網域名稱移至其他發行版移除替代網域名稱在替代網域名稱中使用萬用字元使用備用網域名稱的需求使用備用網域名稱的限制

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

新增替代網域名稱 (CNAME) 以使用自訂 URL

當您建立分發時，請為其 CloudFront 提供網域名稱，例如 d1111。您可以使用替代網域名稱 (也稱為 CNAME)，而不是使用此提供的網域名稱。

若要使用您自己的網域名稱，例如 www.example.com，請參閱下列章節：

新增替代網域名稱

下面的任務列表描述如何使用 CloudFront 控制台將替代域名添加到您的分發，以便您可以在鏈接中使用自己的域名，而不是 CloudFront 域名。如需使用 CloudFront API 更新發行版的相關資訊，請參閱使用發行版。

注意

如果您要檢視器使用具有備用網域名稱的 HTTPS，請參閱使用備用網域名稱和 HTTPS。

在您開始進行前：請先確認您已執行以下作業，再更新您的分佈以新增備用網域名稱：

  • 向 Route 53 或其他網域註冊商註冊網域名稱。

  • 從涵蓋網域名稱的授權憑證授權機構 (CA) 取得 SSL/TLS 憑證。將憑證新增至您的分佈，來驗證您是否已獲得使用網域的授權。如需詳細資訊，請參閱 使用備用網域名稱的需求。

新增替代網域名稱

  1. 登入 AWS Management Console 並開啟 CloudFront 主控台，位於https://console.aws.amazon.com/cloudfront/v4/home。

  2. 選擇您希望更新的分佈 ID。

  3. 在 General (一般) 索引標籤上，選擇 Edit (編輯)。

  4. 更新下列的值：

    備用網域名稱 (CNAME)

    新增您的備用網域名稱。使用逗號區隔網域名稱，或在新的一行輸入每個網域名稱。

    SSL 憑證

    選擇以下設定：

    • 使用 HTTPS – 請選擇自訂 SSL 憑證，然後在清單中選擇憑證。此清單包括 AWS Certificate Manager (ACM) 佈建的憑證、您從其他 CA 購買並上傳至 ACM 的憑證，以及您從其他 CA 購買並上傳至 IAM 憑證存放區的憑證。

      若您將憑證上傳至 IAM 憑證存放區，但清單中並未顯示該憑證，則請檢閱程序 匯入 SSL/TLS 憑證 以確認憑證是否已正確上傳。

      若選擇此設定，我們建議您僅使用您物件 URL 中的替代網域名稱 (https://www.example.com/logo.jpg)。如果您使用 CloudFront 散發網域名稱 (https://d111111abcdef8.cloudfront.net.cloudfront.net/logo.jpg)，檢視者的行為可能會如下，視您為支援的用戶端選擇的值而定：

      • 所有用戶端：如果檢視器不支援 SNI，就會顯示警告，因為 CloudFront 網域名稱與 TLS/SSL 憑證中的網域名稱不符。

      • 只有 Support 伺服器名稱指示 (SNI) 的用戶端：中 CloudFront 斷與檢視器的連線，而不傳回物件。

    用戶端支援

    選擇一個選項：

    • 所有用戶端：使用專用 IP 位址 CloudFront 提供 HTTPS 內容。如果您選取此選項，當您將 SSL/TLS 憑證與已啟用的分佈相關聯時，需要支付額外的費用。如需詳細資訊，請參閱 Amazon CloudFront 定價。

    • 僅支援伺服器名稱指示 (SNI) 的用戶端 (建議)：不支援 SNI 的舊版瀏覽器或其他用戶端必須使用其他方法存取內容。

    如需詳細資訊，請參閱 選擇如何 CloudFront 提供 HTTPS 要求。

  5. 請選擇 Yes, Edit (是，編輯)。

  6. 在分佈的 General (一般) 索引標籤上，請確認 Distribution Status (分佈狀態) 是否已變更為 Deployed (已部署)。如果您在部署分佈的更新之前，嘗試使用備用網域名稱，則您在下列步驟中建立的連結可能無法運作。

  7. 設定替代網域名稱的 DNS 服務 (例如 www.example.com)，將流量路由到您的分發的 CloudFront 網域名稱 (例如：您使用的方法取決於您是使用 Route 53 做為網域的 DNS 服務提供者，還是其他提供者。

    注意

    若您 DNS 記錄指向的分佈不是您正在更新的分佈，您將只在更新您的 DNS 後，才能將備用網域名稱新增到您的分佈。如需詳細資訊，請參閱 使用備用網域名稱的限制。

    Route 53

    請建立別名資源紀錄集。使用別名資源紀錄集時，您不需要支付 Route 53 查詢。此外，您可以建立根網域名稱 (example.com) 的別名資源紀錄集，該 DNS 不允許 CNAME。如需詳細資訊，請參閱 Amazon Route 53 開發人員指南中的使用您的 CloudFront 網域名稱將流量路由到 Amazon 網路分發。

    其他 DNS 服務供應商

    使用 DNS 服務供應商提供的方法，為您的網域新增 CNAME 記錄。這個新的 CNAME 記錄會將 DNS 查詢從您的備用網域名稱重新導向至您分發的CloudFront 網域名稱 (例如：d111111abcdef8.cloudfront.net)。如需詳細資訊，請參閱 DNS 服務供應商提供的說明文件。

    重要

    如果您已經有替代網域名稱的 CNAME 記錄，請更新該記錄，或將其取代為指向散佈CloudFront 網域名稱的新記錄。

  8. 使用 dig 或類似 DNS 工具，請確認您在先前步驟建立的 DNS 組態，是否指向分佈的網域名稱。

    以下範例顯示了一個在 www.example.com 網域的 dig 請求和回應的相關部分。

    PROMPT> dig www.example.com

; <<> DiG 9.3.3rc2 <<> www.example.com
;; global options:	printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 15917
;; flags: qr rd ra; QUERY: 1, ANSWER: 9, AUTHORITY: 2, ADDITIONAL: 0

;; QUESTION SECTION:
;www.example.com.     IN    A

;; ANSWER SECTION:
www.example.com. 10800 IN	CNAME	d111111abcdef8.cloudfront.net.
...

    回答部分顯示 CNAME 記錄，該記錄會將查詢路由到CloudFront 分發網域名稱 d111111abcdef8.cloudfront.net。如果右側的名稱CNAME是您 CloudFront 分發的網域名稱，則 CNAME 記錄設定正確。如果它是任何其他值，例如，Amazon S3 儲存貯體的網域名稱，則 CNAME 紀錄配置錯誤。在這種情況下，請回到步驟 7 並更正 CNAME 紀錄以指向分佈的網域名稱。

  9. 通過訪問帶有您的域名的 URL 而不是分發 CloudFront域名來測試替代域名。

  10. 在您的應用程式中，將物件的 URL 變更為使用替代網域名稱，而非 CloudFront 散發的網域名稱。

將替代網域名稱移至其他發行版

如果您嘗試將替代網域名稱新增到分佈，但替代網域名稱已在不同分佈使用時，您會收到 CNAMEAlreadyExists 錯誤訊息 (您提供的一個或多個 CNAME 已與不同的資源相關聯)。例如，當您嘗試將 www.example.com 新增至分佈時，您會收到這個錯誤訊息，告知www.example.com 已與其他分佈相關聯。

在這種情況下，您可能想要將現有的替代網域名稱從一個分佈 (來源分佈）移動到另一個（目標分佈)。以下步驟是程序概觀。如需詳細資訊，請遵循概觀中每個步驟的連結。

移動替代網域名稱

  1. 設定目標分佈。此分佈必須有涵蓋您移動之替代網域名稱的 SSL/TLS 憑證。如需詳細資訊，請參閱 設定目標分佈。

  2. 尋找來源分佈。您可以使用 AWS Command Line Interface (AWS CLI) 來尋找替代網域名稱相關聯的散佈版本。如需詳細資訊，請參閱 尋找來源分佈。

  3. 移動替代網域名稱。執行此操作的方式取決於來源分配與目標分配是否在同一 AWS 科目中。如需詳細資訊，請參閱 移動替代網域名稱。

設定目標分佈

在移動替代網域名稱之前，必須先設定目標分佈 (要將替代網域名稱移動所至的分佈)。

設定目標分佈

  1. 取得包含您移動之替代網域名稱的 SSL/TLS 憑證。如果沒有憑證，可以在 AWS Certificate Manager (ACM) 中申請一個憑證，或是從另一個憑證授權機構 (CA) 取得憑證，然後將其匯入 ACM。確定您是在美國東部 (維吉尼亞北部) (us-east-1) 區域請求或匯入憑證。

  2. 如果尚未建立目標分佈，請立即建立。做為建立目標分佈的一部分，請將憑證 (來自上一個步驟) 與分佈建立關聯。如需詳細資訊，請參閱 建立分發。

    如果您已經有目標分佈，請將憑證 (來自上一個步驟) 與目標分佈建立關聯。如需詳細資訊，請參閱 更新分佈。

  3. 建立 DNS TXT 紀錄，將替代網域名稱與目標分佈的分佈網域名稱建立關聯。建立 TXT 紀錄，並在替代網域名稱前加上底線 (_)。下列範例顯示 DNS 中的 TXT 紀錄：

    _www.example.com TXT d111111abcdef8.cloudfront.net

    CloudFront 使用此 TXT 記錄來驗證您對替代網域名稱的擁有權。

尋找來源分佈

在將替代網域名稱從一個分佈移至另一個分佈之前，您應該先找到來源分佈 (目前正在使用替代網域名稱的分佈)。知道來源與目標分佈兩者的 AWS 帳戶 ID 後，您便可以決定如何移動替代網域名稱。

尋找替代網域名稱的來源分佈

  1. 使用 AWS Command Line Interface (AWS CLI) 中的CloudFront list-conflicting-aliases指令，如下列範例所示。以替代網域名稱取代 www.example.com，用您先前設定之目標分佈的 ID 取代 EDFDVBD6EXAMPLE。使用與目標發佈位於相同 AWS 帳戶中的認證來執行此命令。若要使用此命令，您必須擁有目標分佈的 cloudfront:GetDistribution 和 cloudfront:ListConflictingAlias 許可。

    
aws cloudfront list-conflicting-aliases --alias www.example.com --distribution-id EDFDVBD6EXAMPLE

    命令的輸出會顯示與所提供的網域名稱衝突或重疊的所有替代網域名稱清單。例如：

    • 如果將 www.example.com 提供給命令，則命令的輸出會包含 www.example.com 以及重疊的萬用字元替代網域名稱 (*.example.com) (如果存在)。

    • 如果將 *.example.com 提供給命令，則命令的輸出會包含 *.example.com 以及該萬用字元所涵蓋的任何替代網域名稱 (例如，www.example.com、test.example.com、dev.example.com 等)。

    針對命令輸出中的每個替代網域名稱，您可以看到與替代網域名稱關聯之分佈的 ID，以及擁有該分佈的 AWS 帳戶 ID。分佈和帳戶 ID 會部分隱藏，這樣既可以讓您識別出您擁有的分佈和帳戶，同時又可以避免洩漏非您擁有之分佈和帳戶的資訊。

  2. 在命令的輸出中，找到您要移動的替代網域名稱的分佈，並記下來源分發的 AWS 帳戶 ID。將來源分配的帳戶 ID 與您建立目標發佈的帳戶 ID 進行比較，並判斷這兩個分佈是否位於同一 AWS 帳戶中。這可協助您判斷如何移動替代網域名稱。

    若要移動替代網域名稱，請參閱下列主題。

移動替代網域名稱

根據您的狀況，從以下內容選擇移動替代網域名稱的方式：

如果來源和目標分佈位於相同的 AWS 帳戶

使用中的associate-alias指令 AWS CLI 移動替代網域名稱。此方法適用於所有相同帳戶的移動，包括當替代網域名稱是 Apex 網域時 (也稱為根網域，例如 example.com)。如需詳細資訊，請參閱 用associate-alias於移動替代網域名稱。

如果來源分佈和目標分佈位於不同的 AWS 帳戶

如果您具有來源分佈的存取權，替代網域名稱不是 Apex 網域 (也稱為根網域，如 example.com)，而且您尚未使用與該替代網域名稱重疊的萬用字元，請使用萬用字元來移動替代網域名稱。如需詳細資訊，請參閱 使用萬用字源來移動替代網域名稱。

如果您無法存取來源散發的 AWS 帳戶，您可以嘗試使用中的associate-alias命令 AWS CLI 來移動替代網域名稱。如果來源分佈已停用，您可以移動替代網域名稱。如需詳細資訊，請參閱 用associate-alias於移動替代網域名稱。如果 associate-alias 命令沒有作用，請聯絡 AWS Support。如需詳細資訊，請參閱 移動替代網域名稱 AWS Support 的聯絡人。

用associate-alias於移動替代網域名稱

如果來源散佈與目標發佈位於相同的 AWS 帳戶中，或者如果它位於不同的帳戶中但已停用，則您可以使用中的CloudFront associate-alias命令 AWS CLI來移動替代網域名稱。

使用 associate-alias 來移動替代網域名稱

  1. 使用執 AWS CLI 行命 CloudFront associate-alias令，如下列範例所示。以替代網域名稱取代 www.example.com，以具有目標分佈 ID 取代 EDFDVBD6EXAMPLE。使用與目標發佈位於相同 AWS 帳戶中的認證來執行此命令。請注意下列使用此命令的限制：

    • 您必須擁有目標分佈的 cloudfront:AssociateAlias 和 cloudfront:UpdateDistribution 許可。

    • 如果來源和目標分佈位於相同的 AWS 帳戶，您必須擁有來源分佈的 cloudfront:UpdateDistribution 許可。

    • 如果來源和目標分佈在不同的 AWS 帳戶，則必須停用來源分佈。

    • 目標分佈必須依照 設定目標分佈 所述的方式設定。

    
aws cloudfront associate-alias --alias www.example.com --target-distribution-id EDFDVBD6EXAMPLE

    此命令會從來源分佈中移除替代網域名稱，並將其新增至目標分佈中，藉此更新這兩個分佈。

  2. 完全目標分佈部署之後，請更新 DNS 組態，將替代網域名稱的 DNS 紀錄指向目標分佈的分佈網域名稱。

使用萬用字源來移動替代網域名稱

如果來源散發位於與目標發佈不同的 AWS 帳戶中，且已啟用來源散佈，您可以使用萬用字元來移動替代網域名稱。

注意

無法使用萬用字元來移動 Apex 網域 (例如 example.com)。若要在來源分佈和目標分佈位於不同的 AWS 帳戶時移動 Apex 網域，請聯絡 AWS Support。如需詳細資訊，請參閱 移動替代網域名稱 AWS Support 的聯絡人。

使用萬用字源來移動替代網域名稱
注意

此程序涉及對分佈的多次更新。等待每個分佈完整部署最新的變更後，再進行下一步。

  1. 更新目標分佈，以新增涵蓋您要移動之替代網域名稱的萬用字元替代網域名稱。例如，如果您要移動的替代網域名稱為 www.example.com，請將該替代網域名稱 *.example.com 新增到目標分佈。若要執行這項操作，目標分佈上的 SSL/TLS 憑證必須包含萬用字元網域名稱。如需詳細資訊，請參閱 更新分佈。

  2. 更新替代網域名稱的 DNS 設定，以指向目標分佈的網域名稱。例如，如果您要移動的替代網域名稱是 www.example.com，請更新 www.example.com 的 DNS 紀錄，以將流量路由至目標分佈的網域名稱 (例如，d111111abcdef8.cloudfront.net)。

    注意

    在您更新 DNS 設定後，替代網域名稱仍會由來源分佈提供，因為這是替代網域名稱目前設定的所在位置。

  3. 更新來源分佈來移除替代網域名稱。如需詳細資訊，請參閱 更新分佈。

  4. 更新目標分佈來新增替代網域名稱。如需詳細資訊，請參閱 更新分佈。

  5. 使用 dig (或類似的 DNS 查詢工具)，以驗證替代網域名稱的 DNS 紀錄是否解析為目標分佈的網域名稱。

  6. (選用) 更新目標分佈來移除萬用字源替代網域名稱。

移動替代網域名稱 AWS Support 的聯絡人

如果來源和目標發佈位於不同的 AWS 帳戶中，而且您無法存取來源分發的 AWS 帳戶，或無法停用來源分發，您可以連絡 AWS Support 以移動替代網域名稱。

聯絡移 AWS Support 動替代網域名稱

  1. 設定目標分佈，包括指向目標分佈的 DNS TXT 紀錄。如需詳細資訊，請參閱 設定目標分佈。

  2. 聯繫 AWS Support以要求他們驗證您是否擁有該域，並將域名移至新的 CloudFront 發行版本。

  3. 完全目標分佈部署之後，請更新 DNS 組態，將替代網域名稱的 DNS 紀錄指向目標分佈的分佈網域名稱。

移除替代網域名稱

如果您想要停止將網域或子網域的流量路由傳送至 CloudFront 發佈，請遵循本節中的步驟來更新 DNS 組態和 CloudFront 散發。

您務必要從分佈移除備用網域名稱，並更新您的 DNS 組態。如果您想要將網域名稱與其他 CloudFront 發行版產生關聯，這有助於避免日後發生問題。如果備用網域名稱已與一個分佈建立關聯，即無法以另一個分佈設定。

注意

如果您想要從這個分發移除備用網域名稱來將該地址新增到另一個分發，請按照 將替代網域名稱移至其他發行版 中的步驟。如果您改為遵循此處的步驟 (移除網域)，然後將網域新增至另一個發行版，則會有一段時間內網域不會連結至新發佈，因 CloudFront 為會傳播至 Edge 位置的更新。

從分佈移動備用網域名稱

  1. 若要開始，請將您網域的網際網路流量路由到另一個不是您 CloudFront 發佈的資源，例如 Elastic Load Balancing 負載平衡器。或者，您可以刪除將流量路由到的 DNS 記錄 CloudFront。

    執行以下其中一項，取決於您網域的 DNS 服務：

    • 如果您使用的是 Route 53，請更新或刪除別名記錄或 CNAME 記錄。如需詳細資訊，請參閱編輯記錄或刪除記錄。

    • 如果您使用其他 DNS 服務提供者，請使用 DNS 服務供應商提供的方法來更新或刪除將流量導向至 CloudFront的 CNAME 記錄。如需詳細資訊，請參閱 DNS 服務供應商提供的說明文件。

  2. 在您更新網域的 DNS 紀錄，請等待變更傳播且 DNS 解析程式會路由流量到新的資源。您可以建立一些使用 URL 中網域的測試連結來確認此步驟是否完成。

  3. 登入 AWS Management Console 並開啟 CloudFront 主控台https://console.aws.amazon.com/cloudfront/v4/home，然後執行下列動作來更新您的 CloudFront 發行版以移除網域名稱：

    1. 選擇您希望更新的分佈 ID。

    2. 在 General (一般) 索引標籤上，選擇 Edit (編輯)。

    3. 在 Alternate Domain Names (CNAMEs) (正式名稱記錄 (CNAME)) 中，請移除您已不想再用於分佈的備用網域名稱 (或網域名稱)。

    4. 請選擇 Yes, Edit (是，編輯)。

在替代網域名稱中使用萬用字元

當您新增備用網域名稱時，可以改為在網域名稱的開頭使用 * 萬用字元，而非新增個別子網域。例如，使用替代網域名稱 *.example.com，您可以在 URL 中使用任何結尾為 example.com 的網域名稱，例如 www.example.com、product-name.example.com、marketing.product-name.example.com 等。不管網域名稱為何，物件的路徑都是一樣的，例如：

  • www.example.com/images/image.jpg

  • product-name.example.com/images/image.jpg

  • marketing.product-name.example.com/images/image.jpg

按照這些包括萬用字元的備用網域名稱要求：

  • 替代網域名稱必須以星號和點號 (*.) 開頭。

  • 您不能使用萬用字元來取代子網域名稱的部分，例如：*domain.example.com。

  • 您不得取代網域名稱中的子網域，例如：subdomain.*.example.com。

  • 所有備用網域名稱 (包括使用萬用字元的備用網域名稱) 都必須涵蓋在憑證的主體別名 (SAN) 下。

萬用字元替代網域名稱 (例如 *.example.com) 可以包含其他正在使用中的替代網域名稱，例如 example.com。

使用備用網域名稱的需求

當您將替代網域名稱 (例如 www.example.com) 新增至 CloudFront 發行版時，需求如下：

備用網域名稱必須是小寫

所有替代網域名稱 (CNAME) 都必須是小寫。

備用網域名稱必須由有效的 SSL/TLS 憑證涵蓋

要將替代域名（CNAME）添加到 CloudFront 分發中，您必須將覆蓋備用域名的受信任有效 SSL/TLS 證書附加到您的分發。這樣可確保只有能夠存取您網域憑證的人員才能與 CloudFront 您網域相關的 CNAME 建立關聯。

受信任的憑證是由 AWS Certificate Manager (ACM) 或其他有效憑證授權單位 (CA) 所發行的憑證。您可以使用自我簽署憑證來驗證現有 CNAME，但無法驗證新 CNAME。 CloudFront 支援與 Mozilla 相同的憑證授權單位。如需目前的清單，請參閱 Mozilla 內建 CA 憑證清單。

若要使用您附加的憑證 (包括包含萬用字元的替代網域名稱) 來驗證替代網域名稱，請 CloudFront 檢查憑證上的主體別名 (SAN)。您新增的備用網域名稱必須由 SAN 涵蓋。

注意

一次只能將一個憑證附加至 CloudFront 發行版本。

您可以執行以下作業，證明您已獲得授權，將特定的備用網域名稱新增到您的分佈：

  • 附加包含替代網域名稱的憑證，例如 product-name.example.com。

  • 連接網域名稱開頭包含 * 萬用字元的憑證，以使用單一憑證涵蓋多個子網域。當您指定萬用字元時，您可以在 CloudFront中新增多個子網域作為替代網域名稱。

下列範例說明如何在憑證中使用網域名稱中使用萬用字元來授權您在中新增特定替代網域名稱。 CloudFront

  • 您想要新增 marketing.example.com 做為替代網域名稱。在您的憑證中列出以下網域名稱：*.example.com。將此憑證附加至時 CloudFront，您可以為您的分發新增任何替代網域名稱，以取代該層級的萬用字元，包括 marketing.example.com。您也可以新增下列備用網域名稱 (範例)：

    • product.example.com

    • api.example.com

    但是，您無法新增比萬用字元層級高或低的備用網域名稱。例如，您無法新增替代網域名稱 example.com 或 marketing.product.example.com。

  • 您想要新增 mexample.com 做為替代網域名稱。若要執行此作業，您必須在您連接到分佈的憑證上列出網域名稱 example.com 本身。

  • 您想要新增 marketing.product.example.com 做為替代網域名稱。若要執行此作業，您可以在憑證上列出 *.example.com，或是在憑證上列出 marketing.product.example.com。

變更 DNS 組態的許可

當您新增替代網域名稱時，您必須建立 CNAME 記錄，以將替代網域名稱的 DNS 查詢路由傳送至您的 CloudFront 分發。若要執行此作業，您必須擁有為您正在使用備用網域名稱，使用 DNS 服務提供者建立 CNAME 記錄的許可。一般而言，這表示您擁有此網域，但您也可能是在為網域擁有者開發應用程式。

備用網域名稱和 HTTPS

若您希望檢視器搭配備用網域名稱使用 HTTPS，您必須完成額外設定。如需詳細資訊，請參閱 使用備用網域名稱和 HTTPS。

使用備用網域名稱的限制

請在使用備用網域名稱時，注意以下限制：

備用網域名稱的數量上限

如需您可為分發新增之備用網域名稱數量的目前上限，或是有關請求更高配額 (先前稱為限制) 的詳細資訊，請參閱分佈的一般配額。

重複和重疊的備用網域名稱

如果另一個 CloudFront 發行版中已經存在相同的替代網域名稱，即使您的 AWS 帳戶擁有其他 CloudFront 發行版，您也無法將備用網域名稱新增至分發。

不過，您可以新增萬用字元替代網域名稱，例如 *.example.com，其中包含 (重疊) 非萬用字元的替代網域名稱，例如 www.example.com。如果您在兩個發行版中有重疊的替代網域名稱，則無論 DNS 記錄指 CloudFront 向的分佈為何，都會使用更具體的名稱相符，將請求傳送給發佈。例如，marketing.domain.com 比 *.domain.com 更為具體。

網域 Fronting

CloudFront 包括防止跨不同 AWS 帳戶發生的網域前端的保護。網域前端是指非標準用戶端在一個帳戶中建立與網域名稱之間的 TLS/SSL 連線，然後在另一個 AWS 帳戶中針對不相關名稱發出 HTTPS 要求的案例。 AWS 例如，TLS 連線可能會連線到 www.example.com，接著傳送 www.example.org 的 HTTP 請求。

若要避免網域前端跨越不同 AWS 帳 AWS 戶的情況，請 CloudFront 確定擁有為特定連線提供之憑證的 AWS 帳戶一律符合擁有該相同連線上所處理之要求的帳戶。

如果兩個 AWS 帳戶號碼不相符， CloudFront 請以 HTTP 421 錯誤導向要求回應來回應，讓用戶端有機會使用正確的網域進行連線。

在網域的頂端節點 (Zone Apex) 新增備用網域名稱

當您將替代網域名稱新增至分發時，通常會在 DNS 組態中建立 CNAME 記錄，以將網域名稱的 DNS 查詢路由到您的 CloudFront 分發。不過，您不能為 DNS 命名空間，也稱為 Zone Apex 的頂端節點建立 CNAME 記錄；DNS 通訊協定不允許此操作。例如，如果您註冊 DNS 名稱 example.com，Zone Apex 就是 example.com。您無法為 example.com 建立 CNAME 紀錄，但可以為 www.example.com、newproduct.example.com 等建立 CNAME 紀錄。

如果您使用 Route 53 做為您的 DNS 服務，則可以建立別名資源紀錄集，其與 CNAME 記錄相比，有兩項優勢。您可以在頂端節點 (example.com) 建立網域名稱的別名資源紀錄集。此外，使用別名資源紀錄集時，您不需要支付 Route 53 查詢。

注意

如果您啟用 IPv6，必須建立兩個別名資源紀錄集：一個給路由 IPv4 流量 (A 紀錄)，一個給路由 IPv6 流量 (AAAA 紀錄)。如需詳細資訊，請參閱 發佈設定參考 主題中的 啟用 IPv6。

如需詳細資訊，請參閱 Amazon Route 53 開發人員指南中的使用您的 CloudFront 網域名稱將流量路由到 Amazon 網路分發。