Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Validation du domaine ACME

Les ressources de validation de domaines ACME préautorisent les domaines pour lesquels un point de terminaison ACME peut émettre des certificats. Contrairement à la validation de domaine ACM standard (que vous configurez dans le cadre d'une demande de certificat), les validations de domaine ACME sont des ressources persistantes que l'administrateur PKI configure à l'avance. Cette séparation permet aux propriétaires d'applications de demander des certificats sans avoir à effectuer eux-mêmes la validation du domaine.

Chaque validation de domaine nécessite un enregistrement CNAME dans le DNS. Il s'agit du même type d'enregistrement CNAME que celui utilisé pour la validation DNS ACM standard. Cependant, les validations de domaines ACME sont spécifiques à chaque point de terminaison. Les différents points de terminaison nécessitent des enregistrements CNAME distincts, même pour le même domaine.

Comment la validation de domaine ACME est liée à la validation ACM standard

Les deux mécanismes utilisent le même format d'enregistrement CNAME et le même objectif : prouver la propriété du domaine en plaçant un enregistrement spécifique dans le DNS, comme décrit dansAWS Certificate Manager Validation DNS. Dans les deux cas, le CNAME délègue la validation continue du domaine à ACM. Comme l'enregistrement indique une cible gérée par ACM, ACM peut revalider la propriété du domaine au fil du temps sans autre action de votre part. C'est ce qui permet à ACM de renouveler automatiquement les certificats. La liste suivante décrit les principales différences :

Étendue de validation du domaine

Lorsque vous créez une validation de domaine, vous configurez une étendue qui contrôle les certificats qui peuvent être émis à l'aide de cette validation. L'oscilloscope dispose de trois réglages indépendants. Pour les définitions du domaine et du sous-domaine apex, consultezNoms de domaine.

Vous pouvez combiner ces paramètres. Le tableau suivant présente des exemples de combinaisons d'étendues.

Cycle de vie des statuts

Après avoir créé une validation de domaine, ACM tente de vérifier l'enregistrement CNAME pendant 72 heures au maximum. Si l'enregistrement n'est pas détecté pendant cette période, la validation du domaine passe au INVALID statut. Assurez-vous de fournir l'enregistrement CNAME rapidement après avoir créé la validation du domaine.

Une validation de domaine ACME passe par les statuts suivants :

Raisons de l'échec

Création d'une validation de domaine

Vous pouvez créer une validation de domaine ACME à l'aide de la console ACM ou de la CLI AWS .

Pour créer une validation de domaine (console)

Pour créer une validation de domaine (AWS CLI)

Exécutez la commande suivante pour créer une validation de domaine ACME :

aws acm create-acme-domain-validation \
    --acme-endpoint-arn arn:aws:acm:region:111122223333:acme-endpoint/00000000-0000-0000-0000-000000000000 \
    --domain-name example.com \
    --prevalidation-options '{
        "DnsPrevalidation": {
            "DomainScope": {
                "ExactDomain": "ENABLED",
                "Subdomains": "ENABLED",
                "Wildcards": "DISABLED"
            },
            "HostedZoneId": "Z1234567890"
        }
    }'

Pour vérifier l'état et obtenir les détails du CNAME, exécutez la commande suivante :

aws acm describe-acme-domain-validation \
    --acme-domain-validation-arn arn:aws:acm:region:111122223333:acme-endpoint/00000000-0000-0000-0000-000000000000/acme-domain-validation/11111111-1111-1111-1111-111111111111

Gestion des validations de domaines

Vous pouvez effectuer les opérations de gestion suivantes sur les validations de domaines ACME :