Terraform配置Classic Load Balancer时无法使用ACM证书求助

看起来你踩了Classic Load Balancer（CLB）和ACM证书的一个常见坑——Classic ELB无法跨区域使用ACM证书，而且它对证书的来源有特定要求。咱们一步步拆解问题和解决方案：

问题根源 #

你当前的配置里，ELB部署在us-east-2区域，但ACM证书的ARN显示它在us-east-1区域。对于Classic ELB来说：

• 要么使用同区域的ACM证书
• 要么使用上传到IAM的SSL证书
  跨区域的ACM证书是不被CLB支持的，这就是你收到Secure Listeners need to specify a SSLCertificateId错误的核心原因。

解决方案选项 #

选项1：在ELB所在区域创建/复制ACM证书 #

最简单的办法是把你的证书复制到us-east-2区域（和ELB同区域）：

1. 登录AWS控制台，进入ACM服务，切换到us-east-2区域
2. 选择导入现有证书（如果你是自行签发的），或者重新申请一个同域名的AWS免费证书
3. 获取新的ACM证书ARN，替换你配置里的ssl_certificate_id值

修改后的listener配置示例：

listener {
  instance_port     = 8000
  instance_protocol = "http"
  lb_port           = 443
  lb_protocol       = "https"
  ssl_certificate_id = "arn:aws:acm:us-east-2:xxxxxxxxxxxxxxx:certificate/xxxxxx-xxxx-xxx-xxx-xxxxxxxxxx"
}

选项2：把ACM证书导入到IAM中 #

如果你不想在多区域维护证书，可以把ACM证书导出后上传到IAM，然后用IAM证书的ARN配置CLB：

1. 先用AWS CLI导出ACM证书（需要设置一个密码短语，比如存到passphrase.txt文件里）：

   aws acm export-certificate --certificate-arn <你的ACM证书ARN> --passphrase file://passphrase.txt
   

   命令会返回证书主体、私钥和证书链的内容，把它们分别保存为certificate.pem、privatekey.pem和chain.pem
2. 上传证书到IAM：

   aws iam upload-server-certificate --server-certificate-name MyCLBCert \
     --certificate-body file://certificate.pem \
     --private-key file://privatekey.pem \
     --certificate-chain file://chain.pem
   

3. 复制返回的ServerCertificateMetadata.Arn，替换Terraform配置里的ssl_certificate_id值

选项3：改用Application Load Balancer（推荐） #

如果你的架构允许，建议直接切换到ALB（对应Terraform的aws_lb资源）。ALB原生支持ACM证书，没有跨区域限制，而且功能更丰富（比如路径转发、WAF集成等）。典型的ALB HTTPS listener配置示例：

resource "aws_lb" "sprint0_alb" {
  name               = "foobar-terraform-alb"
  internal           = false
  load_balancer_type = "application"
  security_groups    = [aws_security_group.alb_sg.id]
  subnets            = [aws_subnet.public_a.id, aws_subnet.public_b.id, aws_subnet.public_c.id]

  enable_deletion_protection = false
}

resource "aws_lb_listener" "https" {
  load_balancer_arn = aws_lb.sprint0_alb.arn
  port              = "443"
  protocol          = "HTTPS"
  ssl_policy        = "ELBSecurityPolicy-2016-08"
  certificate_arn   = "arn:aws:acm:us-east-1:xxxxxxxxxxxxxxx:certificate/xxxxxx-xxxx-xxx-xxx-xxxxxxxxxx"

  default_action {
    type             = "forward"
    target_group_arn = aws_lb_target_group.app_target.arn
  }
}

验证配置 #

不管选哪个选项，修改配置后记得先运行terraform plan检查配置是否合法，然后再terraform apply部署。如果还是报错，确认证书的ARN格式正确，且证书状态是ISSUED（ACM证书）或者ACTIVE（IAM证书）。

内容的提问来源于stack exchange，提问作者Diego