如何在部署于AWS EB的WebSocket应用中使用ACM证书？

核心限制：ACM证书无法直接在EC2实例加载 #

ACM颁发的证书不能导出私钥，所以你没法像本地那样用X509Certificate2.CreateFromPemFile加载证书——AWS将ACM证书的私钥托管，仅允许在负载均衡器、CloudFront这类AWS托管服务上直接使用。

另外，若用第三方证书上传到EC2实例，自动缩放组新建实例时，证书文件不会自动同步，得额外配置脚本从S3下载，不仅麻烦还存在安全隐患，不推荐这种做法。

最优方案：TLS终止在负载均衡器上 #

这是AWS环境下的标准配置，实例侧无需处理证书，仅负责明文WebSocket流量：

1. 配置EB负载均衡器的HTTPS监听器 #

• 登录EB控制台，找到你的应用环境，进入「配置」→「负载均衡器」
• 添加HTTPS监听器，端口设为443，下拉选择你已有的ACM证书
• 设置转发规则：将HTTPS流量转发到实例的WebSocket端口（比如你之前用的3000），协议选HTTP即可

2. 修改.NET应用代码 #

实例侧的WebSocket服务只需监听本地明文端口，移除所有证书、SSL相关配置：

// 监听实例内网/本地端口，无需指定域名和wss协议
var socket = new WebSocketServer("ws://0.0.0.0:3000");

// 保留其他原有配置

3. 客户端连接验证 #

客户端直接用wss://example.com（默认443端口可省略）连接，负载均衡会自动将加密的wss流量转为明文ws转发到实例，全程无需实例处理TLS。

特殊场景：必须在实例侧处理TLS（不推荐） #

若确实有特殊需求要在EC2实例上直接配置TLS：

• 放弃ACM证书，使用可导出私钥的第三方证书
• 在EB的实例配置中添加用户数据脚本，让实例启动时从S3存储桶下载证书文件到本地固定路径
• 你的.NET应用从该固定路径加载证书，代码逻辑和本地一致
• 注意给S3桶配置权限，仅允许EB实例的IAM角色访问

内容的提问来源于stack exchange，提问作者SimonJ9