Azure机器（Route53域名）如何通过AWS获取可下载的SSL证书？

你遇到的问题确实很典型——ACM托管的证书因为安全设计无法导出私钥和证书文件，所以直接用它来配置Azure机器上的服务是行不通的。不过有几个可行的方案，我给你详细拆解：

方案一：使用ACM Private CA签发可导出的通配符证书 #

这是最直接的解决方案，因为你已经在AWS管理域名和Route53，用ACM Private CA（PCA）签发的证书可以导出你需要的.key和.crt文件，而且是正规受信任的证书。

步骤如下：

1. 创建ACM Private CA：在AWS控制台的ACM PCA服务中，创建一个根CA或者子CA（根CA需要手动信任，子CA可以基于根CA签发）。注意PCA是付费服务，但对于单个证书的场景成本很低。
2. 签发通配符证书：在PCA中发起证书请求，指定你的通配符域名*.topleveldomain.com，并选择允许导出私钥的选项。因为你的域名托管在Route53，PCA可以自动完成域名验证（DNS验证），不需要额外操作。
3. 导出证书文件：证书签发完成后，你可以通过AWS CLI或者控制台下载证书的PEM包，里面包含三个关键文件：
   • 私钥文件（对应.key）：private_key.pem
   • 证书文件（对应.crt）：certificate.pem
   • 证书链文件：certificate_chain.pem
     把这些文件上传到你的Azure机器，配置到服务中即可。

方案二：通过CloudFront中转流量（无需在Azure机器配置SSL） #

如果你的服务允许通过反向代理中转，也可以把Azure机器的流量通过AWS CloudFront来处理SSL：

• 把CloudFront的源指向你的Azure机器的子域名（已经在Route53配置好）。
• 在CloudFront中关联你的ACM通配符证书，这样用户访问时SSL由CloudFront处理，Azure机器只需要处理HTTP流量。
• 这种方案不需要在Azure机器上配置任何SSL证书，适合不想管理证书文件的场景，但需要调整流量路径。

为什么ACM托管证书不能导出？ #

补充说明一下：AWS ACM托管的证书是为AWS原生服务（如ELB、CloudFront、API Gateway等）设计的，为了保障私钥安全，AWS会托管私钥，不允许用户下载。所以这类证书无法直接用于外部服务器的SSL配置，这也是你之前遇到问题的原因。

内容的提问来源于stack exchange，提问作者Bob