AWS ALB无downtime更换SSL证书：Digicert证书切换ACM托管证书问题

问题明确答复 #

不会，ALB没有自动切换过期证书的机制，整个切换过程需要你手动操作，但只要按正确流程执行可以实现完全无downtime。

具体原理说明

ALB的HTTPS监听器的证书逻辑是：

• 你必须指定一个默认证书，所有客户端请求如果没有匹配到SNI规则，都会返回默认证书
• 你添加到监听器证书列表的其他证书，只有当客户端SNI信息和证书域名完全匹配时才会被调用
• 即使原有默认证书过期，ALB也不会自动把列表里其他有效证书升为默认，会继续返回过期证书，导致用户访问出现证书报错

无中断切换操作流程

• 先在ACM申请对应域名的证书，优先选DNS验证，不会影响现有业务，等证书状态变为已签发
• 把该ACM证书添加到ALB对应HTTPS监听器的证书列表中，这一步完全不影响现有业务，原有Digicert证书仍作为默认证书正常服务
• 本地修改hosts将域名指向ALB的公网IP，访问域名验证新ACM证书可正常工作，无兼容性问题
• 进入ALB监听器设置，将默认证书修改为刚添加的ACM证书，操作实时生效，无任何业务中断
• 后续待原Digicert证书过期后，可直接从ALB证书列表和ACM的导入证书库中删除旧证书即可，新的ACM证书会由AWS自动续期，无需人工操作

内容的提问来源于stack exchange，提问作者Vaibhav Anur