Como posso validar certificados ACM do Route 53?

Breve descrição

Para validar certificados ACM do Route 53, use a validação DNS. Para provar a propriedade do domínio, adicione o registro CNAME fornecido pelo ACM à sua configuração de DNS.

Resolução

Observação: se você receber erros ao executar comandos da AWS Command Line Interface (AWS CLI), consulte Solução de problemas da AWS CLI. Além disso, verifique se você está usando a versão mais recente da AWS CLI.

Se o Route 53 for o provedor de serviços de DNS do seu domínio, é possível configurar uma validação DNS no console do ACM para criar o CNAME. Quando você seleciona essa opção, o ACM adiciona automaticamente o registro à zona hospedada pelo Route 53 do domínio.

No entanto, se um dos seguintes casos for verdadeiro, você deverá adicionar registros CNAME manualmente:

• Você tem várias zonas hospedadas para o mesmo domínio.
• Sua zona hospedada está em uma conta da AWS diferente.

Determinar o registro NS

Para determinar o registro do servidor de nomes (NS), primeiro encontre a configuração de DNS para a zona hospedada apropriada. Execute o seguinte comando:

Linux e macOS:

$ dig NS example.com

Windows:

$ nslookup -type=ns example.com

Observação: substitua exemplo.com pelo seu nome de domínio.

Esse comando fornece os registros NS da configuração de DNS do domínio.

Adicione o registro CNAME à zona hospedada do Route 53 que tem o mesmo registro NS do NS na sua saída.

Exemplo de saída:

$ dig example.com NS; <<>> DiG 9.11.4-P2-RedHat-9.11.4-9.P2.amzn2.0.2 <<>> example.comNS
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 56071
;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096

;; QUESTION SECTION:
;example.com. IN NS

;; ANSWER SECTION:
example.com. 300 IN NS ns-199x.awsdns-xx.co.uk.
example.com. 300 IN NS ns-29x.awsdns-xx.com.
example.com. 300 IN NS ns-54x.awsdns-xx.net.
example.com. 300 IN NS ns-120x.awsdns-xx.org.

Adicionar registros CNAME no Route 53

Depois de usar os registros NS para identificar a zona hospedada que você deseja usar, adicione seu registro CNAME a ela. Siga estas etapas:

1. Abra o console do Route 53.
2. Acesse a zona hospedada do domínio. Essa zona hospedada deve ter o mesmo registro NS do NS identificado na tarefa anterior.
3. Escolha Criar registro.
4. Em Nome, insira o Nome do registro do CNAME gerado pelo ACM, excluindo a parte do domínio. Obtenha mais informações consultando Como funcionam os registros CNAME do ACM.
5. Em Valor, insira o Valor de registro completo fornecido pelo ACM.
6. Em Tipo de registro, escolha CNAME - Encaminha o tráfego para outro nome de domínio e para alguns recursos da AWS.
7. Em Política de roteamento, escolha Roteamento simples.
8. Escolha Criar registros.

Confirme a resolução do registro CNAME

Para confirmar que o Route 53 adicionou o registro CNAME à sua configuração de DNS, execute um comando semelhante aos seguintes:

Linux e macOS:

dig +short _example-cname.example.com

Windows:

nslookup -type=cname _example-cname.example.com

Observação: substitua example-cname.exemplo.com pelo seu registro CNAME do ACM.

Se você adicionou e propagou com êxito o registro CNAME, o comando retornará o valor do registro CNAME na saída.

Solicitações de certificado de subdomínio com e sem zona hospedada separada

Para solicitar certificados para subdomínios com uma zona hospedada separada, conclua as seguintes etapas:

1. Siga as etapas na seção Determinar o registro NS para identificar o registro NS do subdomínio.
2. No comando, substitua o nome do domínio pelo nome do seu subdomínio.
3. Analise a saída do comando:
   Se você receber registros NS, adicione os registros CNAME na zona hospedada do subdomínio para corresponder a esses valores.
   Se você não receber registros NS, verifique sua delegação de subdomínio.
   Para obter mais informações, consulte Como faço para criar um subdomínio para meu domínio hospedado no Route 53?

Para solicitar certificados para subdomínios sem uma zona hospedada separada, conclua as seguintes etapas:

1. Adicione os registros CNAME na zona hospedada do domínio ápex. Para obter mais informações, consulte Resolvendo os desafios do ápex da zona de DNS com provedores de DNS terceirizados usando a AWS.
2. Siga as etapas na seção Verificar a resolução do registro CNAME para confirmar se o registro CNAME foi resolvido corretamente.

Observação: se houver uma alteração recente na configuração do DNS, você poderá enfrentar atrasos na propagação com base nos valores Time to Live (TTL).

Informações relacionadas

Por que o status de renovação do meu certificado ACM ainda está “Validação pendente” depois que usei o processo de renovação gerenciada do ACM para meu nome de domínio?

Configurar o registro alias do Amazon Route 53 para seu DNS de destino