Wie behebe ich die Fehlerausnahme „InvalidViewerCertificate“ beim Erstellen oder Aktualisieren einer CloudFront-Distribution?

Lösung

Befolgen Sie die Schritte zur Behebung der Fehlermeldung, die Sie erhalten:

„Das angegebene SSL-Zertifikat existiert nicht, befindet sich nicht in der Region us-east-1, ist nicht gültig oder enthält keine gültige Zertifikatskette.“

Diese Fehlermeldung weist darauf hin, dass das Zertifikat eine oder mehrere der folgenden Anforderungen für den Import in den AWS Certificate Manager (ACM) oder für die Zuordnung zu einer Distribution nicht erfüllt:

• Das Zertifikat muss in die Region USA Ost (Nord-Virginia) importiert werden.
• Das Zertifikat muss 2048 Bit oder kleiner sein.
• Das Zertifikat darf nicht passwortgeschützt sein.
• Das Zertifikat muss PEM-codiert sein.

Um das importierte Zertifikat und die Zertifikatskette Ihrer CloudFront-Distribution zuzuordnen, müssen Sie sicherstellen, dass sie diese Anforderungen erfüllen. Alternativ können Sie in der Region USA Ost (Nord-Virginia) ein öffentliches Zertifikat vom ACM anfordern, um die Anforderungen zu erfüllen. Anschließend können Sie das neu angeforderte Zertifikat Ihrer Distribution zuordnen.

„Um einer CloudFront-Distribution einen alternativen Domainnamen (CNAME) hinzuzufügen, müssen Sie ein vertrauenswürdiges Zertifikat anhängen, das Ihre Autorisierung zur Verwendung des Domainnamens bestätigt.“

Diese Fehlermeldung weist darauf hin, dass die alternativen Domainnamen (CNAMEs) auf der Distribution nicht durch den Subject Alternative Name (SAN) des von Ihnen bereitgestellten Zertifikats abgedeckt sind. Sie können ein öffentliches Zertifikat vom ACM anfordern oder sich an Ihre Zertifizierungsstelle (CA) wenden, um ein aktualisiertes Zertifikat zu erhalten, das die alternativen Domainnamen auf der Distribution abdeckt.

„Das Zertifikat, das Ihrer Distribution beigefügt ist, enthält zu viele Zertifikate in der Zertifikatskette.“

Diese Fehlermeldung weist darauf hin, dass die Anzahl der Zertifikate in der Kette den Höchstwert von fünf überschreitet. Sie benötigen eine neue Zertifikatskette mit fünf oder weniger Zertifikaten. Wenn Ihre aktuelle Zertifizierungsstelle (CA) dies nicht unterstützt, können Sie den ACM verwenden, um ein kostenloses gültiges Zertifikat auszustellen.

„Das Zertifikat, das Ihrer Distribution beigefügt ist, enthält eines oder mehrere abgelaufene Zertifikate in der Zertifikatskette. Stellen Sie sicher, dass jedes Zertifikat in der Kette für das aktuelle Datum gültig ist, indem Sie das Feld Nicht gültig nach überprüfen.“

Diese Fehlermeldung weist darauf hin, dass eine oder mehrere der Zertifikatsketten in dem Zertifikat, das CloudFront zu verwenden versucht, abgelaufen sind. Laden Sie die richtigen Kettendateien von Ihrer Zertifizierungsstelle (CA) herunter und importieren Sie Ihr Zertifikat und Ihre Kettendateien erneut in ACM oder AWS Identity and Access Management (IAM). Wiederholen Sie anschließend Ihre Anfrage. Wenn Ihre aktuelle Zertifizierungsstelle dies nicht unterstützt, können Sie ACM verwenden, um ein kostenloses gültiges Zertifikat auszustellen.

„Das Zertifikat, das an Ihre Distribution angehängt ist, enthält eines oder mehrere Zertifikate in der Zertifikatskette, die noch nicht gültig sind. Stellen Sie sicher, dass jedes Zertifikat in der Kette für das aktuelle Datum gültig ist, indem Sie das Feld Nicht gültig vor überprüfen.“

Diese Fehlermeldung weist darauf hin, dass eine oder mehrere der Zertifikatsketten in dem Zertifikat, das CloudFront zu verwenden versucht, noch nicht gültig sind. Das bedeutet, dass das Startdatum des Zertifikats in der Zukunft liegt, weshalb das Zertifikat noch nicht gültig ist. Laden Sie die richtigen Kettendateien von Ihrer Zertifizierungsstelle (CA) herunter und importieren Sie Ihr Zertifikat und die Kettendateien erneut in ACM oder IAM. Wiederholen Sie anschließend Ihre Anfrage. Wenn Ihre aktuelle Zertifizierungsstelle dies nicht unterstützt, können Sie ACM verwenden, um ein kostenloses gültiges Zertifikat auszustellen.

„Das Zertifikat, das Ihrer Distribution beigefügt ist, wurde nicht von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt.“

Diese Fehlermeldung weist darauf hin, dass das Zertifikat nicht von einer vertrauenswürdigen Zertifizierungsstelle (CA) ausgestellt wurde. Stellen Sie ein Zertifikat von einer vertrauenswürdigen CA für CloudFront aus, damit Sie einen alternativen Domainnamen (CNAME) verwenden können. Wenn Ihre aktuelle Zertifizierungsstelle dies nicht unterstützt, können Sie ACM verwenden, um ein kostenloses gültiges Zertifikat auszustellen.

Hinweis: Selbstsignierte Zertifikate werden nicht unterstützt.

„Das Zertifikat, das an Ihre Distribution angehängt ist, hat einen Wert im SAN-Feld, der nicht richtig formatiert ist.“

Diese Fehlermeldung weist darauf hin, dass der Subject Alternative Name (SAN) nicht richtig formatiert ist. CloudFront verlangt, dass jeder Eintrag entweder ein DNS-Name mit einem vollqualifizierten Domainnamen (FQDN) oder die IP-Adresse eines Servers sein muss. Platzhaltereinträge sind gültig, Sie können jedoch keine alternativen Domainnamen (CNAMEs) hinzufügen, die sich auf einer höheren oder niedrigeren Ebene als der Platzhalter befinden. Wenn Ihre aktuelle Zertifizierungsstelle (CA) dies nicht unterstützt, können Sie den ACM verwenden, um ein kostenloses gültiges Zertifikat auszustellen.

„Das von Ihnen angegebene Zertifikat deckt nicht den alternativen Domainnamen (CNAME) ab, den Sie hinzufügen möchten.“

Diese Fehlermeldung weist darauf hin, dass einer oder mehrere der alternativen Domainnamen (CNAMEs), die Sie Ihrer Distribution zuordnen möchten, nicht im Subject Alternative Name (SAN) des Zertifikats enthalten sind, der in den API-Aufrufen CreateDistribution oder UpdateDistribution bereitgestellt wird. Stellen Sie sicher, dass Sie im API-Aufruf das richtige Zertifikat angeben.

„Es ist ein interner Fehler für CloudFront aufgetreten. Bitte versuchen Sie es erneut.“

Diese Fehlermeldung weist darauf hin, dass bei der Ausgabe des CreateDistribution- oder UpdateDistribution-API-Aufrufs ein internes Problem aufgetreten ist. Es hat sich bewährt, den API-Aufruf zu einem späteren Zeitpunkt erneut zu versuchen. Wenn dieser Fehler über einen längeren Zeitraum andauert, überprüfen Sie das AWS Service Health Dashboard auf mögliche aktuelle Probleme.

„Das angegebene SSL-Zertifikat existiert nicht, befindet sich nicht in der Region us-east-1, ist nicht gültig oder enthält keine gültige Zertifikatskette.“

Diese Fehlermeldung kann auftreten, wenn in der Richtlinienauswertung für einen Benutzer oder eine Rolle eine ausdrückliche Ablehnungsanweisung für AWS KMS enthalten ist. Der Fehler tritt am häufigsten auf, wenn eine der folgenden AWS KMS-Aktionen ausdrücklich verweigert wird: kms:DescribeKey, kms:CreateGrantoder kms:*.

Diese Richtlinien befinden sich an einer beliebigen Stelle in der Richtlinienbewertung für den Benutzer oder die Rolle. Zum Beispiel identitätsbasierte Richtlinien, Service Control Polices (SCPs) oder Berechtigungsgrenzen, um nur einige zu nennen. Weitere Informationen finden Sie unter Evaluierung von Richtlinien innerhalb eines einzelnen Kontos.

---