AWS Certificate Manager仅支持根域名？子域证书待处理问题咨询

你遇到的证书始终停留在待处理状态、无法完成签发的核心遗漏配置，是新建的两个子域托管区没有完成DNS层级委派。

故障根因 #

Route53 的公共托管区不会自动和上级托管区建立关联，只有当上级托管区为子域配置了对应权威NS服务器的委派记录时，全球DNS递归解析系统才能顺着域名层级，定位到子托管区内存储的所有解析记录。
你之前申请cert.foo.com能正常通过DNS校验，是因为foo.com的根托管区已经在域名注册商侧完成了顶级域的NS委派，校验记录存放在根托管区里就能被DNS正常解析；但后续单独新建的uw2.foo.com、ue1.foo.com托管区，虽然已经把ACM自动生成的校验记录正确配置在了对应子托管区内，却因为这两个子域的权威NS地址没有在上级foo.com的根托管区完成委派，ACM的校验请求按照DNS解析规则根本访问不到子托管区里的校验记录，自然会一直卡在待验证状态直到过期。

具体修复步骤 #

• 提取子托管区的权威NS地址
  分别打开uw2.foo.com、ue1.foo.com对应的托管区详情页，找到系统自动生成的NS类型记录，把每条托管区对应的4条权威NS服务器地址完整复制留存。
• 在根托管区添加子域NS委派记录
  进入最初持有foo.com域名的根托管区，新建两条类型为NS的解析记录：
  • 第一条记录名为uw2，记录值填入uw2.foo.com子托管区对应的4条NS服务器地址
  • 第二条记录名为ue1，记录值填入ue1.foo.com子托管区对应的4条NS服务器地址
    注意不要误修改根托管区本身的NS记录，只需要为两个子域单独添加NS类型的委派条目即可
• 验证委派生效状态
  等配置的NS记录TTL过期（Route53默认TTL为60秒，最长等待10分钟即可），通过DNS查询命令确认两个子域的NS记录返回值和子托管区的权威NS地址完全匹配，就算委派配置生效。
• 触发证书重新校验
  回到ACM控制台，对处于待处理状态的两张证书点击「重新验证」，正常1-3分钟内即可完成校验流程，触发证书签发。

常见踩坑补充：如果确认委派配置正确、NS记录可被全球正常匿名查询，还是无法触发签发，可以检查下子托管区的校验记录是不是被误设置为不公开、或者被其他同值记录覆盖，ACM的DNS校验记录要求必须公网可查询到和控制台给出的完全一致的特定值，任何权限拦截、值不匹配都会导致校验失败。

内容的提问来源于stack exchange，提问作者guycole