當 AWS 私有 CA 有效期少於 13 個月時，我可以使用 ACM 簽發私有憑證嗎？

簡短描述

您在 ACM 主控台中要求的私人憑證有效期為 13 個月。如果 AWS 私有憑證授權單位的有效期少於 13 個月，則 ACM 無法發行私有憑證。如果您使用 ACM 主控台來請求私有憑證，而 CA 有效期少於 13 個月，則請求會失敗。

若要解決此錯誤，請使用 IssueCertificate API 請求有效期較短的私有憑證。然後，將憑證匯入 ACM，以便您可以將憑證與整合服務搭配使用。

解決方法

使用 IssueCertificate API 簽發有效期較短的新私有憑證

**注意：**如果您在執行 AWS Command Line Interface (AWS CLI) 命令時收到錯誤，請參閱AWS CLI 錯誤疑難排解。此外，請確定您使用的是最新的 AWS CLI 版本。

執行 issue-certificate AWS CLI 命令來簽發到期日短於 CA 有效期的私有憑證：

aws acm-pca issue-certificate --certificate-authority-arn arn:aws:acm-pca:us-west-2:123456789012:certificate-authority/12345678-1234-1234-1234-123456789012 --csr fileb://cert_1.csr --signing-algorithm "SHA256WITHRSA" --validity Value=300,Type="DAYS" --idempotency-token 1234

**注意：**您必須為私有憑證產生自己的憑證簽署要求 (CSR) 和私密金鑰。

從 ACM PCA 取得私有憑證內文和鏈結，然後將其匯入 ACM

1. 執行 get-certificate 命令來取得私有憑證的內文和鏈結：

   aws acm-pca get-certificate \--certificate-authority-arn arn:aws:acm-pca:region:account:\
   certificate-authority/12345678-1234-1234-1234-123456789012 \
   --certificate-arn arn:aws:acm-pca:region:account:\
   certificate-authority/12345678-1234-1234-1234-123456789012/\
   certificate/6707447683a9b7f4055627ffd55cebcc \
   --output text

   使用 base64 編碼的 PEM 格式憑證和憑證鏈的範例輸出：

   -----BEGIN CERTIFICATE-----...base64-encoded certificate...
   -----END CERTIFICATE----
   -----BEGIN CERTIFICATE-----
   ...base64-encoded certificate...
   -----END CERTIFICATE----
   -----BEGIN CERTIFICATE-----
   ...base64-encoded certificate...
   -----END CERTIFICATE----

2. 執行下列命令將憑證內文和憑證鏈結儲存為 .pem 檔案：

   憑證鏈結：

   aws acm-pca get-certificate --certificate-authority-arn  arn:aws:acm-pca:Region:Account:certificate-authority/12345678-1234-1234-1234-123456789012 --certificate-arn arn:aws:acm-pca:Region:Account:certificate-authority/12345678-1234-1234-1234-123456789012/certificate/66506378eb4e296c59b41bbb7b8dd068 --output text --query CertificateChain > certchain.pem

   憑證內文：

   aws acm-pca get-certificate --certificate-authority-arn  arn:aws:acm-pca:Region:Account:certificate-authority/12345678-1234-1234-1234-123456789012 --certificate-arn arn:aws:acm-pca:Region:Account:certificate-authority/12345678-1234-1234-1234-123456789012/certificate/66506378eb4e296c59b41bbb7b8dd068 --output text --query Certificate > certfile.pem
   

3. 若要將私有憑證與整合服務搭配使用，請執行 import-certificate AWS CLI 命令來匯入憑證：
   注意： 使用您的檔案名稱來取代 certfile.pem、privately.key 和 certchain.pem。

   aws acm import-certificate --certificate fileb://certfile.pem --private-key fileb://privatekey.key --certificate-chain fileb://certchain.pem