如何让Salesforce引用AWS Secrets Manager中的GoDaddy SSL证书？可行性咨询

可行性结论 #

直接让Salesforce通过原生SSL配置关联AWS Secrets Manager、调用其中的SSL证书，做不到。

核心限制 #

• Salesforce的SSL配置是闭环的：不管是用于站点、API集成还是第三方连接的证书，都要求直接上传证书文件（公钥、私钥，部分场景还要根证书）到Salesforce内部，原生根本没留对接外部密钥管理服务的口子。
• 权限卡得死：你方没有这个Salesforce环境的访问和管理权限，没法通过写自定义代码（比如Apex、Salesforce Functions）来调用AWS Secrets Manager的API拉取证书——这类操作得改Salesforce内部配置或者部署代码，你方没权限碰。
• 安全和权限冲突：就算能调用AWS的API，也得有AWS的身份凭证（比如IAM角色、Access Key），但把这些凭证放到你方无权管控的Salesforce环境里，安全风险极高，而且Salesforce侧也没现成的配置方式来存这些凭证。

间接实现的可能思路（得客户配合） #

如果客户非要用AWS Secrets Manager存证书，只能走间接路线，但都得客户有这个Salesforce环境的管理权限：

• 定期同步脚本：写个自动化脚本（比如用AWS Lambda加Salesforce的REST API），定期从Secrets Manager拉取证书，自动上传更新到Salesforce的证书存储里。得配置好双方的API权限，还要处理证书过期自动更新的逻辑。
• 加代理层：在Salesforce和目标服务之间搭个中间代理（部署在AWS上），代理从Secrets Manager拿证书处理SSL握手，Salesforce只需要信任代理的证书就行。

内容的提问来源于stack exchange，提问作者Cloud Wanderer