AWS Certificate Manager中导入SSL证书转托管版本后续期资格异常

核心原因 #

你遇到的情况大概率是创建证书时操作失误：误选择了「导入现有证书」而非「请求AWS托管的新证书」。AWS托管的免费证书由AWS自动签发，有效期默认12个月，且Renewal Eligibility会显示Eligible；只有导入的第三方证书才会沿用原证书的过期日期，且因AWS无法控制第三方证书的续期，会标记为Ineligible。

少数情况下可能是AWS ACM的临时数据同步异常，但操作失误是最常见的诱因。

解决步骤 #

1. 确认当前证书类型
   登录ACM控制台，查看异常证书的「证书类型」字段：如果显示「导入」，说明确实是操作错误，需要重新创建证书。

2. 正确创建AWS托管证书

   • 进入ACM控制台，点击「请求证书」
   • 选择「请求公有证书」，输入与原导入证书完全一致的域名集（包括主域名和SAN域名）
   • 验证方式选择「DNS验证」，如果你的域名托管在Route53，可勾选「通过Route53自动验证」，AWS会自动添加所需的DNS记录
   • 等待验证完成（通常几分钟内），此时生成的证书会显示：
     • 证书类型：AWS托管
     • 有效期：12个月
     • Renewal Eligibility：Eligible

3. 迁移至新证书
   确认新证书状态正常后，即可将负载均衡器、CloudFront等服务的证书配置替换为新的AWS托管证书，替换完成后即可安全删除原导入的过期证书。

关键结论 #

完全支持从导入型SSL证书迁移至AWS托管版本，只要确保新证书是AWS签发的托管类型即可，不存在技术限制。

内容的提问来源于stack exchange，提问作者Oguzhan Aygun