转换PFX证书导入AWS Certificate Manager失败求助

我之前也踩过Trustwave证书导入AWS ACM的坑，分享几个亲测有效的排查和修复步骤：

1. 检查PFX拆分后的证书链顺序 #

AWS ACM对证书链的顺序要求很严格：必须从你的域名证书开始，接着是中间证书，最后是根证书，顺序绝对不能乱。如果你用openssl拆分PFX，确保导出的文件对应正确：

• 导出域名证书：openssl pkcs12 -in yourcert.pfx -clcerts -nokeys -out domain.crt
• 导出中间证书：openssl pkcs12 -in yourcert.pfx -cacerts -nokeys -out intermediate.crt
• 导出私钥：openssl pkcs12 -in yourcert.pfx -nocerts -out private.key（导出后记得用openssl rsa -in private.key -out unencrypted.key转成无密码格式，AWS不接受带密码的私钥）

之后把domain.crt、intermediate.crt、你下载的Trustwave根证书按顺序拼接成一个完整的链文件，注意不要留多余空行或重复的证书内容。

2. 用OpenSSL验证证书链完整性 #

在本地先验证链是否有效，避免白跑AWS：

openssl verify -CAfile full_chain.crt domain.crt

如果返回domain.crt: OK，说明链是正常的；如果报错，要么是证书缺失，要么是顺序错了。

3. 确认Trustwave根证书的匹配版本 #

Trustwave有不同版本的根证书，要确保你下载的根证书和中间证书是配套的。比如如果你的中间证书是SHA256算法的，就别下载SHA1版本的根证书，否则链会断。

4. ACM导入时的细节注意 #

在ACM控制台导入时：

• 私钥：上传解密后的unencrypted.key
• 证书主体：单独上传domain.crt
• 证书链：上传拼接好的完整链文件（中间证书+根证书）

如果还是报错，可以尝试先上传中间证书，再上传根证书，有时候AWS会自动识别拼接，但手动拼接的成功率更高。

内容的提问来源于stack exchange，提问作者ddibiase