Альтернативные домены Cloudfront с использованием SNI для HTTPS
Я пытаюсь использовать Cloudfront для обслуживания корзины S3 через HTTPS с использованием «Альтернативного доменного имени», но я получаю эту ошибку при загрузке сайта в браузере:
NET::ERR_CERT_COMMON_NAME_INVALID
This server could not prove that it is example.com; its security
certificate is from *.cloudfront.net. This may be caused by a
misconfiguration or an attacker intercepting your connection.
Эта ошибка имеет смысл, но насколько я понимаю, Cloudfront каким-то образом должен иметь возможность использовать сертификат по умолчанию для работы с «Альтернативными доменными именами», если клиент поддерживает SNI. Вот документы AWS об этом:
Я что-то неправильно понимаю?
По сути, я просто хочу иметь возможность использовать HTTPS через Cloudfront без необходимости платить 600 долларов в месяц, которые AWS взимает за выделенные IP-сертификаты.
@ceejayoz правильно сказал об использовании ACM (диспетчера сертификатов Amazon) для выполнения этой работы. В любом случае, у меня сейчас работает HTTPS, поэтому вот полный ответ, чтобы помочь другим (и моему будущему забывчивому я)
Вот шаги для настройки HTTPS с использованием SNI:
- Используйте ACM для создания сертификата для ваших доменов (это бесплатно)
- Подтвердите свое право собственности на домены (ACM сообщает вам это сделать)
- Перейдите в консоль Cloudfront, щелкните свой дистрибутив, нажмите «Изменить» на вкладке «Общие».
- В разделе «Сертификат SSL» теперь вы должны иметь возможность выбрать «Пользовательский сертификат SSL» (он отключен, если у вас нет сгенерирован сертификат)
- Выберите сертификат из раскрывающегося списка.
- В разделе «Поддержка клиентов SSL» убедитесь, что выбран вариант «Только клиенты, поддерживающие указание имени сервера (SNI)». (В противном случае с вас будет списана безбожная сумма денег)
- Сохраните изменения, и все должно быть красиво.
Для ясности, вот некоторая полезная информация о ценах, которую я нашел:
Я просмотрел мелкий шрифт на странице цен на Cloudfront и обнаружил еще одну полезную документацию: https://aws.amazon.com/cloudfront/custom-ssl-domains/
Важная строка в разделе «Пользовательский SSL SNI»:
«Для этой функции нет отдельной цены. Вы можете используйте SNI Custom SSL без предоплаты или ежемесячной платы за управление сертификатами; вы просто платите обычные тарифы Amazon CloudFront за передачу данных и запросы HTTPS ».
Вот несколько сбивающих с толку указаний из первых уст: