AWS 双向 TLS 场景下服务端证书是如何向客户端提供的？

你的猜测是正确的，图中AWS Certificate Manager指向客户端的箭头对应的就是API网关对外提供服务时使用的服务端TLS证书，由ACM负责签发、托管和自动续期。

关于证书获取的问题，不需要客户端主动请求获取，整个流程在TLS握手阶段自动完成：

• 调用API发起HTTPS连接请求时，服务端会在TLS握手的初始环节主动将该服务端证书下发到客户端
• 客户端会自动调用本地的受信任根CA证书链验证该证书的有效性，确认当前访问的API网关是合法的官方端点，避免中间人攻击
• 这是所有标准HTTPS通信都具备的基础单向认证流程，mTLS只是在这个基础上额外增加了客户端向服务端出示客户端证书、服务端校验客户端身份的步骤，实现双向的身份核验。

内容的提问来源于stack exchange，提问作者Christian