AWS证书被未知CloudFront分发占用，无法更新/删除求助

我之前也碰到过一模一样的情况！当时在ACM里删证书死活删不掉，提示被某个CloudFront分发占用，但控制台翻遍了都找不到这个分发，折腾了好一阵才搞定，给你几个实用的排查和解决方向：

1. 用AWS CLI确认分发真实状态 #

控制台偶尔会有缓存或者显示异常，最靠谱的方式是直接用CLI查这个分发是否存在：

aws cloudfront get-distribution --id ABC

（把ABC替换成你收到的ARN里的分发ID）

• 如果命令返回了分发的详细信息，说明这个分发确实存在，只是你在控制台没找到——接下来看下面的权限排查。
• 如果返回NotFound错误，那就是分发已经被删除，但ACM的关联记录还没同步，接着看后面的同步处理方法。

2. 检查控制台的权限问题 #

如果CLI查到分发存在但控制台看不到，大概率是你的IAM账号权限不足：

• 确认你的IAM用户/角色有没有cloudfront:ListDistributions和cloudfront:GetDistribution的权限，缺少的话控制台会隐藏对应资源。
• 可以换一个拥有管理员权限的账号登录控制台试试，说不定就能看到这个分发了。找到后，先把证书从分发的自定义SSL设置里移除，再去ACM操作证书。

3. 处理AWS资源关联不同步的情况 #

如果CLI也确认分发不存在，但ACM还是提示被占用，这是AWS内部的同步延迟：

• 先耐心等1-2小时，有时候AWS的资源关联清理需要时间，尤其是删除分发后，ACM的记录不会立刻更新。
• 如果等了很久还是不行，用CLI查看证书的关联资源列表，确认那个CloudFront ARN还在：

  aws acm list-certificate-resources --certificate-arn <你的证书ARN>
  

  要是确实还在，直接联系AWS支持，说明情况，让他们帮忙手动清理这个无效的关联记录——AWS支持一般几个小时内就能处理。

4. 排查是否由其他服务创建的分发 #

有时候这个CloudFront分发可能不是你手动创建的，而是由其他AWS服务生成的：

• 比如Amplify应用会自动创建CloudFront分发，去Amplify控制台看看有没有对应的应用，检查它的域名配置里是不是用了这个证书。
• 或者CloudFormation栈创建的分发，用下面的命令排查：

  aws cloudformation describe-stack-resources --stack-name <你的栈名>
  

  找到对应的分发资源后，要么更新栈移除证书关联，要么删除栈（如果不需要的话）。

内容的提问来源于stack exchange，提问作者Johannes Merz