AWS EC2+Bitnami+Cloudflare环境下bncert无法续期SSL证书的咨询

• 最优方案：执行跳过验证的bncert命令
  原因如下：

  1. 主域名当前依赖Cloudflare Edge证书正常运行，但保留其在服务器证书中，能应对后续可能的场景（比如Cloudflare临时故障、调整回源配置需要验证服务器证书），避免额外的证书配置工作。
  2. 二级域名是当前核心问题，它直接指向EC2必须依赖服务器上的SSL证书，执行sudo /opt/bitnami/bncert-tool --perform_public_ip_validation 0 --perform_dns_validation 0能绕过因Cloudflare导致的IP验证失败问题，顺利续期包含主域名和二级域名的证书，一次性解决二级域名的“连接不安全”错误。

• 关于证书覆盖主域名的问题
  执行该命令后，证书依然会覆盖主域名与二级域名——这两个参数只是跳过IP和DNS验证步骤，不会修改证书的域名包含列表，只要你在bncert工具的交互流程中不主动移除主域名，续期后的证书仍会包含原有两个域名。

• 不建议移除主域名的原因
  移除主域名会让服务器证书仅包含二级域名，虽然当前主域名不受影响，但后续如果需要调整Cloudflare回源配置（比如启用严格的证书验证），或者临时切换主域名直接解析到EC2时，会出现证书不匹配的问题，反而增加额外的维护成本。

内容的提问来源于stack exchange，提问作者Alleycat