如何在不购买域名的情况下为AWS Elastic Beanstalk获取SSL证书？

核心结论 #

不行，你必须拥有可管理DNS记录的域名才能在AWS ACM申请有效的SSL证书，无需域名的方式不存在。

原因说明 #

AWS ACM颁发公网SSL证书的前提是你能证明对域名的所有权，目前支持两种验证方式：

• DNS验证：需要你能在域名的DNS服务商处添加ACM提供的TXT记录
• HTTP验证：需要你能在域名指向的服务器上放置指定的验证文件

而你遇到的限制是因为Elastic Beanstalk的默认域名（如xxx.elasticbeanstalk.com）属于亚马逊自有，你没有任何管理权限，既无法添加DNS记录，也不能通过HTTP验证来证明所有权，所以ACM明确禁止为这类域名申请证书。

至于你试过的免费子域名，因为没有DNS管理功能，同样无法完成ACM的所有权验证，自然也没法拿到证书。

可行方案 #

1. 购买低成本域名（推荐用于生产/正式测试） #

买一个便宜的顶级域名（很多服务商每年只需几十元），完成以下步骤：

• 将域名的DNS解析到你的Elastic Beanstalk环境（可通过CNAME指向EB的默认域名，或直接解析到EB负载均衡的IP）
• 在ACM中申请该域名的证书，选择DNS验证或HTTP验证完成所有权确认
• 配置Elastic Beanstalk环境，启用HTTPS并关联ACM证书

2. 使用自签名证书（仅适合内部测试） #

如果只是本地/内部测试用，可以自己生成自签名证书，不需要域名。但这种证书不会被浏览器信任，访问时会弹出安全警告：

• 生成自签名证书（比如用OpenSSL命令：openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes）
• 将证书文件上传到Elastic Beanstalk实例，配置Web服务器（如Nginx、Apache）启用HTTPS

内容的提问来源于stack exchange，提问作者Mike D Hovhannisyan