AWS负载均衡器配置ACM证书后访问子域名仍提示不安全，求HTTPS配置方法

核心认知澄清 #

和你之前单台Nginx上通过手动申请Let's Encrypt证书部署HTTPS的场景不同，使用ACM托管证书搭配AWS负载均衡器时，HTTPS的证书校验、加密握手环节完全由负载均衡器完成，不需要将证书下载到后端EC2服务器手动配置，也不需要重复执行类似certbot的证书申请安装操作。出现提示连接不安全的问题，基本都是以下配置环节遗漏导致的：

常见遗漏配置排查点 #

• 443端口HTTPS监听器未正确绑定已验证的ACM证书
  • 很多用户仅在安全组中开放了443端口的入站规则，却没有在负载均衡器的「监听器」配置页，为443端口的HTTPS服务关联有效的ACM证书。如果未手动绑定证书，负载均衡器会默认使用内置的自签名证书，浏览器自然会判定连接不安全。
  • 需要特别确认两点：一是绑定的ACM证书和负载均衡器属于同一AWS区域，跨区域的ACM证书无法被负载均衡器识别选择；二是证书已完成完整的域名验证流程，处于「已颁发」状态，不是待验证/验证失败的状态。
• 证书域名覆盖范围与访问域名不匹配
  • 你已验证了example.com和*.example.com两类证书，需要确认选择绑定到监听器的证书，其主题备用名称（SAN）列表可以覆盖my_subdomain.example.com：通配符证书默认匹配单级子域名，确保证书没有被错误配置为仅匹配特定单个子域的非通配证书。
  • 如果是应用型负载均衡器（ALB）配置了基于主机头的路由规则，需要确认my_subdomain.example.com的请求命中的规则分支下，关联的默认证书是有效的已验证证书，不是其他域名的证书。
• 路由解析链路未正确指向负载均衡器的443服务
  • 首先通过浏览器的不安全提示弹窗，查看当前实际获取到的证书详情：如果拿到的是自签名证书、域名和访问地址不匹配的证书，说明请求没有走到负载均衡器的443 HTTPS服务上。
  • 逐一排查解析配置：确认Route53中的CNAME记录是否正确指向负载均衡器的公网DNS地址，没有残留之前单台Nginx服务器的A记录、导致解析优先指向旧服务器；确认负载均衡器的安全组已对0.0.0.0/0开放443端口入站权限，避免外部请求无法访问443端口，自动降级到80端口的HTTP明文访问触发不安全提示。
• 回源配置错误导致证书不匹配
  • 负载均衡器默认的HTTPS卸载模式，是在ELB层完成和浏览器的HTTPS握手，再通过HTTP 80端口将请求转发给后端EC2，这个链路下EC2不需要配置任何域名证书。
  • 如果错误将回源协议设置为HTTPS，且后端EC2的443端口没有部署有效证书，即便ELB开启了回源跳过证书校验的配置，浏览器侧拿到的证书依然会和请求的域名不匹配，触发不安全提示。

快速排查校验方法 #

可以在EC2实例上执行以下命令，直接验证域名返回的证书是否正常：
openssl s_client -connect my_subdomain.example.com:443 -servername my_subdomain.example.com

• 如果命令返回的证书是Amazon可信CA颁发的、域名覆盖匹配你访问的子域，说明负载均衡器配置正常，问题大概率来自浏览器本地缓存了旧的HSTS规则、或者本地hosts文件的解析错误，换无痕窗口、清空浏览器缓存即可解决；
• 如果命令返回的是自签名证书、域名不匹配的证书，问题一定出在监听器证书绑定、或者路由解析环节，按照前面的排查点逐一修正即可。

内容的提问来源于stack exchange，提问作者user10714010