如何在Postfix与Dovecot中使用Amazon证书？

核心结论 #

ACM颁发的标准证书无法直接下载私钥，所以不能直接部署到EC2上的Postfix/Dovecot这类自托管服务。但有两种可行途径：

• 使用ACM Private Certificate Authority（ACM PCA）：这种付费服务允许你导出完整的证书链和私钥，直接部署到EC2实例，完全适配Postfix和Dovecot的配置需求。
• 通过AWS Systems Manager Parameter Store加载证书：给EC2实例绑定具备ACM访问权限的IAM角色，编写脚本定期从ACM拉取证书和私钥，存储到实例本地目录供服务调用。这种方式需要维护脚本，复杂度较高。

更适合你的替代方案 #

如果不想为ACM PCA付费或折腾脚本，推荐用Let’s Encrypt等免费CA机构获取证书——直接下载证书和私钥文件，部署流程和你本地环境完全一致，不需要依赖AWS特殊服务，灵活性更高，也能满足Postfix和Dovecot的TLS配置需求。

Postfix/Dovecot证书配置基本步骤（适用于可直接获取的证书文件） #

Postfix配置

1. 将证书链文件（如fullchain.pem）和私钥文件（如privkey.pem）放到EC2的安全目录，比如/etc/postfix/ssl/
2. 修改/etc/postfix/main.cf：

   smtpd_tls_cert_file = /etc/postfix/ssl/fullchain.pem
   smtpd_tls_key_file = /etc/postfix/ssl/privkey.pem
   smtpd_use_tls = yes
   

3. 重启Postfix生效：systemctl restart postfix

Dovecot配置

1. 将证书和私钥放到/etc/dovecot/ssl/目录
2. 修改/etc/dovecot/conf.d/10-ssl.conf：

   ssl_cert = </etc/dovecot/ssl/fullchain.pem
   ssl_key = </etc/dovecot/ssl/privkey.pem
   ssl = required
   

3. 重启Dovecot生效：systemctl restart dovecot

内容的提问来源于stack exchange，提问作者Karolis