如何對具有 ACM 憑證的電子郵件驗證問題進行疑難排解？

2 分的閱讀內容

我已使用具有 AWS Certificate Manager (ACM) 的電子郵件驗證，但我的憑證仍處於「待驗證」狀態。

簡短說明

重要事項： ACM 已停止針對電子郵件驗證憑證執行 WHOIS 查詢。使用 DNS 驗證而非電子郵件驗證。

若要續約 ACM 憑證，您可以使用電子郵件驗證續約或 DNS 驗證續約。

電子郵件驗證需要 ACM 將驗證電子郵件傳遞至您網域上的管理地址。若 ACM 無法傳遞或處理您網域的驗證電子郵件，則電子郵件驗證失敗。如果憑證未移至已簽發狀態，則會套用以下其中一個症狀：

您未收到驗證電子郵件。
您核准電子郵件之後，憑證狀態會保持待驗證。
重新傳送選項無法使用或傳回錯誤。
您無法存取網域的驗證電子郵件地址。

如需解決這些問題，請確定您的案例，然後遵循相應的步驟。

解決方法

注意事項： 如果您執行 AWS Command Line Interface (AWS CLI) 命令時收到錯誤訊息，請參閱對 AWS CLI 錯誤進行疑難排解。此外，請務必使用最新版 AWS CLI。

解決遺失的驗證電子郵件

若您請求具有電子郵件驗證的憑證，ACM 會將驗證電子郵件傳送至憑證上各網域的五個電子郵件地址。請執行以下操作。

驗證網域 MX 記錄

ACM 依賴於網域的 MX 記錄來路由驗證電子郵件。若 MX 記錄設定錯誤或遺失，則 ACM 無法傳遞電子郵件。

請執行以下命令以查詢網域的 MX 記錄：

dig MX example.com +short

確認 MX 記錄指向正在運作且接受郵件的郵件伺服器。

若您的網域沒有 MX 記錄，則 ACM 會將電子郵件傳送至網域本身。例如 admin@example.com。確認後援位址可連線。

檢查垃圾郵件及垃圾文件夾

ACM 將從 no-reply@certificates.amazon.com 傳送驗證電子郵件。請檢查您的濫發郵件、垃圾郵件，以及隔離資料夾。若您的組織使用電子郵件篩選閘道，則將 no-reply@certificates.amazon.com 寄件者地址新增至允許清單。

確認正確的管理電子郵件地址

ACM 會將驗證電子郵件傳送至網域的以下地址：

hostmaster@example.com
postmaster@example.com
admin@example.com
webmaster@example.com
administrator@example.com

請確認上述郵箱至少有一個存在，並且可接收電子郵件。

重新傳送驗證電子郵件

若原始電子郵件遺失或到期，請重新傳送一封新的驗證電子郵件。

注意事項： 若您使用重新傳送驗證電子郵件 AWS CLI 命令，則 --validation-domain 參數會將驗證電子郵件重新引導至父網域。例如，若您驗證 sub.example.com，則將 --validation-domain 設定為 example.com，以便在父網域的管理地址接收電子郵件。

解決核准之後卡在「待驗證」狀態的憑證

按一下驗證電子郵件中的核准連結之後，ACM 會以非同步處理核准。憑證狀態可能需要最多 30 分鐘完成更新。

若憑證在 30 分鐘後仍處於待驗證狀態，請完成以下步驟：

確認已完成核准。按一下連結之後，您應會看到 Amazon 確認頁面。若您看到錯誤頁面，則表示核准未完成。
請檢查核准連結是否已到期。驗證電子郵件包含一個 72 小時之後到期的連結。若連結已到期，請重新傳送驗證電子郵件，然後使用新的連結再次核准。
請確認您已核准所有網域。若憑證涵蓋多個網域名稱，則每個網域均需單獨核准。在 ACM 主控台檢查憑證詳細資訊，並確認仍需驗證的網域。

執行以下 describe-certificate AWS CLI 命令，檢查每個網域的驗證狀態：

aws acm describe-certificate \
    --certificate-arn arn:aws:acm:REGION:111122223333:certificate/12345678-1234-1234-1234-123456789012 \
    --query 'Certificate.DomainValidationOptions'

注意事項： 請將 REGION 取代為您的 AWS 區域，將 111122223333 取代為您的 AWS 帳戶 ID，並將 12345678-1234-1234-1234-123456789012 取代為您的憑證 ID。

在輸出中，檢查每個網域的 ValidationStatus 欄位。任何仍顯示待驗證的網域均尚未核准。

若重新傳送選項無法使用或傳回錯誤，請修正

若憑證未處於接受驗證的狀態，則重新傳送選項無法使用，或者傳回錯誤。

請執行以下操作。

檢查憑證狀態未處於 pending_validation 狀態。
注意事項： 您只能針對待驗證的憑證重新傳送電子郵件。若憑證已簽發、失敗、到期，或者被撤銷，則重新傳送選項無法使用。
請檢查是否透過 DNS 驗證請求憑證。
注意事項： 重新傳送選項僅適用於經電子郵件驗證的憑證。
請檢查憑證是否從待處理狀態逾時。
注意事項： 保持在 pending_validation 狀態超過 72 小時的 ACM 憑證會自動逾時。您必須請求新的憑證。
請確認 API 呼叫中網域名稱或驗證網域正確無誤。同時確認 --domain 和 --validation-domain 參數與憑證的組態相符。

解決無法存取或過時驗證電子郵件地址

若管理電子郵件地址不再存在，或者轉寄至未受監控的郵箱，請使用以下其中一個選項：

設定必要郵箱。
使用父網域進行驗證。
切換至 DNS 驗證。

設定必要郵箱

在網域的郵件伺服器上建立其中一個標準管理郵箱：

hostmaster@example.com
postmaster@example.com
admin@example.com
webmaster@example.com
administrator@example.com

設定用於接收郵件的郵箱，然後重新傳送驗證電子郵件。

使用父網域進行驗證

若您驗證子網域，例如 app.example.com，且無法在該子網域接收電子郵件，則將驗證電子郵件重新引導至父網域。

執行以下 request-certificate AWS CLI 命令，並將 ValidationDomain 選項設定為父網域：

aws acm request-certificate \
    --domain-name app.example.com \
    --validation-method EMAIL \
    --domain-validation-options DomainName=app.example.com,ValidationDomain=example.com

此操作會改為將驗證電子郵件傳送至 example.com 的管理地址。

切換至 DNS 驗證

DNS 驗證透過您的網域 DNS 組態中的 CNAME 記錄，而非電子郵件回應來證明網域擁有權。如需切換至 DNS 驗證，請求一個新的憑證，然後選取 DNS 做為驗證方法。

重要事項： 若您請求具有 DNS 驗證的新憑證，ACM 會生成一個新的 Amazon Resource Name (ARN)。更新使用之前的憑證來參考新 ARN 的任何服務。