亚马逊云SSL证书：从申请到自动续期的全链路安全实践

一、当证书过期成为运维的噩梦

凌晨两点半，手机屏幕亮起，一条监控告警跳了出来——网站证书过期了。用户访问时看到的不是熟悉的页面，而是一个刺眼的红色警告。运维工程师从睡梦中惊醒，手忙脚乱地登录控制台、生成CSR、联系证书颁发机构、等待审核、下载证书、上传配置、重启服务……整个过程少则半小时，多则数小时。而这，仅仅是管理一张数字证书的日常。

如果你曾经经历过这样的夜晚，你一定能理解：证书管理看似是小事，但一张过期的证书足以让整个业务陷入瘫痪。在亚马逊云生态中，AWS Certificate Manager（ACM）正是为了解决这个痛点而生的托管式服务。它不是一个简单的证书申请工具，而是一个集证书预置、部署、续期与审计于一体的综合性管理平台。

今天，我们就来系统地聊一聊亚马逊云SSL证书的方方面面——从证书类型的选择到自动续期的原理，从2026年的有效期新政到ACME协议带来的自动化变革。无论你是刚接触云安全的开发者，还是需要管理成百上千张证书的企业运维，这篇文章都值得你花时间读完。

二、ACM到底是什么？它和传统SSL证书有什么区别？

先给还不熟悉的朋友做一个快速科普。AWS Certificate Manager（ACM）是亚马逊云科技提供的SSL/TLS证书托管服务。它最核心的价值在于：你只需要告诉ACM你需要保护哪些域名，剩下的工作——证书申请、部署、续期——全部由ACM自动完成。

传统模式下，获取一张SSL证书通常需要经历这样的流程：生成密钥对和CSR（证书签名请求）、提交给CA机构、等待审核（可能是邮件验证、DNS验证或文档审核）、下载证书文件、手动上传到服务器或负载均衡器、配置Web服务器……每一步都涉及人工操作，每一步都可能出错。

ACM彻底改变了这个模式。你只需在AWS控制台、CLI或通过API发起证书请求，声明需要保护的域名，ACM就会自动与Amazon Trust Services等信任根体系对接，完成证书的签发。签发完成后，你可以将证书一键关联到Elastic Load Balancer（ELB）、Amazon CloudFront分发、API Gateway等AWS服务上。整个过程几乎不需要人工干预，管理员只需在下拉菜单中选择目标证书即可完成关联。

这种声明式证书管理的设计理念，使得ACM在AWS生态内的证书管理效率远超传统的独立CA方案。

三、三种证书类型，你该怎么选？

ACM支持三种类型的证书，每种证书服务于不同的场景。理解它们的区别，是合理选型的第一步。

公有证书

这是大多数人最先接触的类型。公有证书由Amazon Trust Services等全球公认的CA机构签发，其根证书已被主流浏览器、操作系统和移动设备广泛内置信任。任何公网用户访问配置了ACM公有证书的网站时，浏览器会自动完成证书链验证，无需用户手动导入任何信任锚点。

公有证书适用于面向互联网的Web服务器、API网关、CDN分发等场景。最关键的一点是：用于AWS集成服务的公有证书完全免费。你只需要为使用的AWS资源（如负载均衡器、CloudFront分发）付费，证书本身不产生额外费用。

私有证书

私有证书服务于企业内部网络、零信任架构和封闭系统。ACM Private CA允许企业在云中创建完全属于自己的CA层级体系。私有证书的信任范围仅限于企业内部的终端设备和服务，外部公网默认不信任这些证书。

典型应用场景包括：Kubernetes集群内Pod之间的mTLS双向认证、物联网设备的身份注册与通信加密、企业内部API的调用鉴权、数据库连接加密等。私有证书的有效期为13个月（395天），比公有证书的198天更长。

导入证书

如果你已经从第三方CA获取了证书，也可以将其导入ACM进行统一管理。导入证书本身不收费，但需要注意的是，ACM不会自动续期导入的证书。你需要手动跟踪到期时间并导入替换证书。

四、2026年证书有效期新政：198天、100天、47天

如果你还在用老思路管理证书，2026年是一个必须警醒的转折点。CA/Browser Forum（证书颁发机构与浏览器论坛）通过了一项影响深远的决议：SSL/TLS证书的有效期将分阶段大幅缩短。

具体时间表如下：

• 2026年3月15日起：有效期上限从398天降至200天

• 2027年3月起：进一步降至100天

• 2029年3月起：进一步缩至47天

ACM已经主动响应了这一变化。从2026年3月15日起，ACM新签发和续期的公有证书有效期为198天（符合200天以内的要求）。自动续期的触发时间也从原来的60天提前到了到期前45天。

这意味着什么？到2029年，你一年需要续期证书超过7次。手动操作？根本不现实。这背后的逻辑很清楚——缩短有效期能降低私钥泄露的风险窗口。但同时也传递了一个明确的信号：证书管理必须全面自动化。

五、自动续期：ACM最让人省心的功能

说到自动化，ACM的自动续期机制是其最具价值的特性之一。对于ACM签发的公有证书，系统会在证书到期前45天自动尝试续期。

续期的成功与否，关键在于域名验证方式。如果你在申请证书时选择了DNS验证，并且域名托管在Amazon Route 53，ACM可以自动创建验证所需的DNS CNAME记录。这种情况下，续期几乎可以做到100%自动化，你甚至不需要做任何操作。

如果你使用的是其他DNS服务商，则需要确保验证记录在证书续期时仍然有效。如果验证记录被删除或修改，续期可能会失败。

对于私有证书，ACM同样提供自动续期能力——在证书签发11个月后（即到期前约2个月）尝试自动续期。

值得一提的是，ACM的自动续期是完全免费的。你不需要为每一次续期支付额外费用，这与其他云厂商或传统CA的收费模式形成了鲜明对比。

六、ACME协议支持：2026年的重磅更新

2026年7月，AWS发布了一个对开发者来说意义重大的更新：ACM正式支持ACME协议。

ACME（Automatic Certificate Management Environment）是一个用于自动化证书申请、续期和撤销的开放协议。如果你用过Let's Encrypt，那你已经在使用ACME了——它是Let's Encrypt背后的核心技术。

在此之前，如果企业想在AWS上使用ACME自动化证书管理，往往需要依赖外部CA，导致证书分散在ACM和外部系统两个地方，缺乏统一的可视性和管控。现在，ACM提供了一个完全托管的ACME服务端端点，支持任何ACMEv2兼容的客户端——包括Certbot、Kubernetes的cert-manager、acme.sh等。

这个更新的价值体现在几个层面：

一是集中管控。PKI管理员可以创建ACME端点，在端点级别定义域名范围——限制客户端只能为特定域名或子域名申请证书。域名验证只需在端点级别做一次，应用团队就可以使用标准ACME客户端申请证书，而无需接触DNS凭证。

二是审计可见。所有通过ACME签发的证书都会出现在ACM控制台中，与通过控制台或API签发的证书并列展示。AWS CloudTrail会记录每一次证书请求，Amazon CloudWatch跟踪操作指标。

三是应对有效期缩短。当证书有效期缩短到47天时，手动续期将不再可行。ACME协议支持让开发者可以用标准化的方式实现全自动化的证书生命周期管理。

目前，ACME支持已在所有商业AWS区域上线。中国区域和AWS GovCloud的支持将在后续跟进。

七、免费与付费：ACM的定价逻辑

说到成本，ACM的定价逻辑需要仔细拆解——它不是简单的全部免费，也不是全部收费。

完全免费的部分：用于AWS集成服务（如ELB、CloudFront、API Gateway）的非导出型公有证书。这是绝大多数用户最常用的场景——你只需要为使用的AWS资源付费，证书本身不产生任何费用。

需要付费的部分：可导出的公有证书。如果你需要将证书导出并在AWS之外的服务器（如本地数据中心、其他云平台）上使用，就需要申请可导出证书。这类证书按域名收费：

• 标准域名（FQDN）：每个7美元（签发时和每次续期时收取）

• 通配符域名：每个79美元（签发时和每次续期时收取）

注意，这个费用不是年费，而是每次签发和续期时收取。由于证书有效期在缩短，续期频率在增加，这意味着可导出证书的年度成本也在上升。

私有CA的费用则采用按需付费模式，根据创建的CA数量和签发的证书数量计费。

八、总结：让证书管理回归平静

回到文章开头那个凌晨两点的告警。如果你的证书托管在ACM上，那个告警大概率不会出现。ACM会在证书到期前45天自动完成续期，你甚至感觉不到它的存在。

亚马逊云SSL证书体系的价值，不在于它有多么炫酷的技术，而在于它把一件原本繁琐、易错、高风险的事情，变成了云平台的底层能力。你不需要成为PKI专家，不需要手动跟踪数百张证书的到期时间，不需要在凌晨爬起来处理证书过期——你只需要告诉ACM你需要保护哪些域名，剩下的交给它。

当然，ACM也不是万能的。如果你需要在EC2上直接运行Nginx并管理证书，或者你的证书需要在AWS之外使用，你仍然需要自己处理证书的申请和部署。但即便是这些场景，2026年新增的ACME协议支持也提供了标准化的自动化路径。

选择合适的证书类型、理解自动续期的前提条件、关注有效期政策的变化、善用ACME协议实现自动化——这些，就是管理好亚马逊云SSL证书的核心要义。

在云计算的浪潮中，安全和效率从来不是单选题。ACM证明了一点：好的工具，可以让安全变得简单，让运维回归平静。

上海汪远信息科技有限公司是国内深耕多年的综合型多云服务合作商，业务覆盖阿里云、腾讯云、华为云、天翼云、火山云、微软云、谷歌云、亚马逊云八大主流公有云平台。公司现有全职员工500人，团队架构完善、服务体系标准化。八大云平台全年综合销量突破20亿人民币，累计服务超100万合作客户。其中亚马逊云年销量达5000万美金，为亚马逊云头部一级代理商。通过上海汪远信息科技开通亚马逊云业务，可享8.5折优惠或15%返佣。为代理亚马逊云、谷歌云、微软云等国际云平台，公司特意在香港成立了分公司。

常见问题解答

问：亚马逊云ACM的公有证书真的完全免费吗？
答：是的，只要证书用于ACM集成的AWS服务（如ELB、CloudFront、API Gateway），就完全免费。只有可导出的公有证书才需要付费。

问：ACM的证书会自动续期吗？我需要做什么？
答：ACM签发的公有证书和私有证书都会自动续期。公有证书在到期前45天自动续期，私有证书在11个月后自动续期。你只需要确保DNS验证记录在续期时仍然有效。

问：2026年证书有效期有什么变化？
答：从2026年3月15日起，新签发和续期的公有证书有效期从395天缩短至198天。2027年将降至100天，2029年进一步降至47天。

问：ACME协议是什么？我为什么要关注它？
答：ACME是一个用于自动化证书管理的开放协议。2026年7月，ACM正式支持ACME协议。当证书有效期缩短到47天时，手动续期将不再可行，ACME是实现证书全生命周期自动化的关键工具。

问：ACM的证书可以用在EC2上吗？
答：可以。ACM证书可以部署到EC2实例上。但如果EC2没有使用负载均衡器或CloudFront，你可能需要导出证书（需申请可导出证书）或使用ACME协议通过Certbot等工具自动化管理。

问：导入到ACM的第三方证书会自动续期吗？
答：不会。导入的证书需要你手动跟踪到期时间并导入替换证书。