AWS ACM证书绑定ELB后验证失败，求助排查证书链问题

核心问题 #

你遇到的验证失败和PEM格式错误，根源是AWS ACM证书链上传的逻辑理解有误，以及证书文件的格式拼接问题。

具体解决步骤 #

1. 纠正ACM证书上传的结构
   AWS ACM的要求明确：

   • 「证书主体（Certificate body）」仅上传你的服务器证书star_domain_net.crt的完整PEM内容，不要混入中间或根证书。
   • 「证书链（Certificate chain）」仅上传中间证书DigiCertCA.crt的完整PEM内容不要包含根证书。根证书DigiCert Global Root G2.pem应该由客户端信任存储持有，而非上传到ACM——ACM会自动处理证书链的正确传递，上传根证书会导致返回的链出现重复或无效条目，触发CERTIFICATE_VERIFY_FAILED错误。

2. 修复PEM格式错误
   你之前尝试合并服务器证书和中间证书作为主体上传的做法本身错误，且大概率是拼接时格式出了问题：

   • 确保每个证书的PEM块完整：开头-----BEGIN CERTIFICATE-----、结尾-----END CERTIFICATE-----，中间是纯Base64编码内容，无多余空行、注释或特殊字符。
   • 检查换行符：将Windows风格的\r\n转换成Unix风格的\n，部分工具对换行符敏感。

3. 本地先验证证书链有效性
   上传到ACM前，先用OpenSSL本地验证链是否完整，避免重复操作：

   openssl verify -CAfile DigiCertGlobalRootCA.crt -untrusted DigiCertCA.crt star_domain_net.crt
   

   若返回OK，说明证书链逻辑没问题。

4. 重新上传并验证ELB端点

   • 删除AWS ACM中之前错误的证书，重新上传正确的证书主体和链。
   • 重新绑定到ELB后，用以下命令检测服务器返回的链：

   openssl s_client -connect your-elb-domain:443 -CAfile DigiCertGlobalRootCA.crt
   

   查看输出中的Verify return code，正常应为0 (ok)，同时检查Certificate chain部分，确保无重复条目，且顺序为：服务器证书 → 中间证书。

5. 客户端侧确认
   确保私有网络客户端的信任存储中仅包含DigiCertGlobalRootCA.crt，无多余的中间证书或重复根证书，避免干扰验证逻辑。

内容的提问来源于stack exchange，提问作者rp346