非us-east-1区域ACM证书适配CloudFront HTTPS问题咨询

问题背景 #

在非us-east-1的AWS区域开发应用，已为自定义域名申请并获取ACM证书（存储在对应区域），尝试将该证书用于CloudFront时收到提示：

关联来自AWS Certificate Manager的证书。该证书必须位于美国东部（弗吉尼亚北部）区域（us-east-1）。

查询得知ACM证书无法跨区域/账号导出，原因是加密私钥的默认KMS密钥在各区域/账号唯一，解决方案是在不同区域/账号为同一域名创建多个ACM证书。现咨询：能否直接在us-east-1区域申请新的ACM证书？这会对原区域中正在使用的证书产生影响吗？

解答 #

• 完全可以直接在us-east-1区域为同一自定义域名申请新的ACM证书，这是适配CloudFront要求的标准操作方式。
• 新申请的us-east-1区域证书不会对原区域正在使用的证书产生任何影响。两者是存储在不同AWS区域的独立ACM资源，各自绑定的服务（原区域的应用服务、us-east-1区域的CloudFront）相互独立，证书的有效期、验证状态、使用场景均互不干扰。
• 注意：申请新证书时需要重新完成域名验证（DNS验证或邮件验证），验证流程和你在原区域申请时一致，确保完成域名所有权验证即可。

内容的提问来源于stack exchange，提问作者Bersan