如何获取AWS Certificate Manager中已签发SSL证书的私钥和证书文件？

首先明确核心规则：AWS Certificate Manager（ACM）签发的公有可信免费SSL证书，私钥由AWS全权托管，不提供直接下载私钥及证书文件的功能，设计上仅支持直接关联到AWS原生集成的服务（如应用负载均衡ALB、CloudFront、API Gateway、Elastic Beanstalk等），无需手动配置证书文件。

对应解决方案 #

场景1：证书用于AWS集成服务 #

无需手动下载证书，直接在对应服务的配置项中选择已经签发完成的ACM证书即可完成关联，自动完成SSL配置。

场景2：证书需要部署到自有服务器/非AWS集成服务 #

可选择以下两种方案：

方案1：自行生成密钥对后申请证书

1. 在本地或目标服务器执行openssl命令生成私钥和证书签名请求（CSR）：

openssl req -new -newkey rsa:2048 -nodes -keyout private.key -out your_domain.csr

执行过程中按提示填写域名等相关信息，生成的private.key就是你需要的私钥文件，需自行妥善保存，不可泄露。
2. 持生成的CSR提交到证书签发机构完成证书签发，拿到公钥证书文件后，配合你本地保存的私钥即可直接填入你的配置文件使用。若需要同时将该证书托管到ACM，可在ACM控制台选择导入证书，将证书、私钥、证书链按提示上传即可。

方案2：直接使用可导出的证书签发服务

你可以直接使用支持自行下载证书和私钥的免费签发服务，获取到的证书和私钥都由你自行持有，直接填入配置文件即可：

files:      
  /etc/pki/tls/certs/server.crt:
    mode: "000400"
    owner: root
    group: root
    content: |
      -----BEGIN CERTIFICATE-----
      你获取到的公钥证书内容
      -----END CERTIFICATE-----


  /etc/pki/tls/certs/server.key:
    mode: "000400"
    owner: root
    group: root
    content: |
      -----BEGIN RSA PRIVATE KEY-----
      你本地保存的私钥内容
      -----END RSA PRIVATE KEY-----

内容的提问来源于stack exchange，提问作者saa