在EC2托管的HTTPS服务器上使用AWS ACM证书私钥的可行性问询

直接给你结论：你没办法从AWS ACM导出证书的私钥——AWS完全不支持这个操作。

ACM的设计初衷就是作为AWS原生服务的证书托管工具，比如给ALB、CloudFront、API Gateway这些服务提供证书，私钥全程由AWS保管，用户没有任何途径可以导出。这是出于安全和服务集成的考虑，确保证书只能在AWS生态内的受控环境中使用。

针对你在EC2上部署Express服务器需要HTTPS的场景，这里有几个可行的替代方案：

方案1：使用Application Load Balancer (ALB) 终止HTTPS #

这是最符合AWS最佳实践的方案：

• 把你的EC2实例挂载到ALB后面，让ALB使用你已有的ACM证书来处理HTTPS请求（端口443）。
• ALB和EC2之间用HTTP（端口80）通信，你的Express服务器只需要监听80端口即可。
• 好处：ACM会自动帮你续期证书，不用在EC2上维护任何证书文件；ALB还能提供负载均衡、自动扩展等额外能力。

方案2：在EC2上直接生成可导出的证书 #

如果一定要在EC2上直接配置HTTPS，可以用Let's Encrypt这类免费的公域CA：

• 用certbot工具在EC2实例上生成证书和私钥，这些文件会直接保存在你的服务器上，你可以拿到它们来配置Express的HTTPS服务。
• 示例Express配置代码大致是这样的：

const https = require('https');
const fs = require('fs');
const express = require('express');
const app = express();

const options = {
  key: fs.readFileSync('/path/to/privkey.pem'),
  cert: fs.readFileSync('/path/to/fullchain.pem')
};

https.createServer(options, app).listen(443, () => {
  console.log('HTTPS server running on port 443');
});

• 注意：需要设置certbot的自动续期任务，避免证书过期。

方案3：使用ACM Private CA（不太推荐公域证书场景） #

如果你需要自己管理CA（比如内部服务证书），可以用ACM Private CA，它允许你导出私钥，但这个服务是收费的，而且主要针对私有域场景，对于公域证书来说，Let's Encrypt或者ALB方案更划算。

总结一下：如果能接受ALB的架构，优先选方案1；如果必须在EC2上直接跑HTTPS，方案2是最经济的选择。

内容的提问来源于stack exchange，提问作者Adam Donahue