As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Validação de domínio ACME

Os recursos de validação de domínio da ACME pré-autorizam para quais domínios um endpoint da ACME pode emitir certificados. Diferentemente da validação de domínio ACM padrão (que você configura como parte de uma solicitação de certificado), as validações de domínio ACME são recursos persistentes que o administrador da PKI configura com antecedência. Essa separação permite que os proprietários do aplicativo solicitem certificados sem precisar realizar a validação do domínio por conta própria.

Cada validação de domínio requer um registro CNAME no DNS. Esse é o mesmo tipo de registro CNAME usado para validação de DNS padrão do ACM. No entanto, as validações de domínio ACME são específicas para endpoints individuais. Pontos de extremidade diferentes exigem registros CNAME separados, mesmo para o mesmo domínio.

Como a validação de domínio ACME se relaciona com a validação ACM padrão

Ambos os mecanismos usam o mesmo formato e propósito de registro CNAME: provar a propriedade do domínio colocando um registro específico no DNS, conforme descrito em. Gerenciador de certificados da AWS Validação por DNS Em ambos os casos, o CNAME delega a validação contínua do domínio ao ACM. Como o registro aponta para um alvo gerenciado pelo ACM, o ACM pode revalidar a propriedade do domínio ao longo do tempo sem que você precise tomar nenhuma outra ação. Isso é o que permite que o ACM renove certificados automaticamente. A lista a seguir descreve as principais diferenças:

Escopo de validação de domínio

Ao criar uma validação de domínio, você configura um escopo que controla quais certificados podem ser emitidos usando essa validação. O escopo tem três configurações independentes. Para obter definições de domínio e subdomínio apex, consulte. Nomes de domínio

Você pode combinar essas configurações. A tabela a seguir mostra exemplos de combinações de escopo.

Ciclo de vida do status

Depois de criar uma validação de domínio, o ACM tenta verificar o registro CNAME por até 72 horas. Se o registro não for detectado nesse período, a validação do domínio passará para o INVALID status. Certifique-se de provisionar o registro CNAME imediatamente após criar a validação do domínio.

Uma validação de domínio ACME passa pelos seguintes status:

Razões da falha

Criando uma validação de domínio

Você pode criar uma validação de domínio ACME usando o console ACM ou a CLI AWS .

Para criar uma validação de domínio (console)

Para criar uma validação de domínio (AWS CLI)

Execute o comando a seguir para criar uma validação de domínio ACME:

aws acm create-acme-domain-validation \
    --acme-endpoint-arn arn:aws:acm:region:111122223333:acme-endpoint/00000000-0000-0000-0000-000000000000 \
    --domain-name example.com \
    --prevalidation-options '{
        "DnsPrevalidation": {
            "DomainScope": {
                "ExactDomain": "ENABLED",
                "Subdomains": "ENABLED",
                "Wildcards": "DISABLED"
            },
            "HostedZoneId": "Z1234567890"
        }
    }'

Para verificar o status e obter detalhes do CNAME, execute o seguinte comando:

aws acm describe-acme-domain-validation \
    --acme-domain-validation-arn arn:aws:acm:region:111122223333:acme-endpoint/00000000-0000-0000-0000-000000000000/acme-domain-validation/11111111-1111-1111-1111-111111111111

Gerenciando validações de domínio

Você pode realizar as seguintes operações de gerenciamento nas validações de domínio ACME: