AWS 证书续订失败，尝试更新 CNAME 记录时出现问题

Question

我收到一封来自 AWS 的电子邮件：

要续订此证书，您必须确保正确的 CNAME 列出的每个域的记录都存在于您的 DNS 配置中 下面

所以我去了 https://ap-northeast-2.console.aws.amazon.com/acm/ 并抓住了 CNAME 并尝试在 route-53 中创建 CNAME 记录

失败并显示消息

[具有 DNS 名称 example.kr 的 CNAME 类型的 RRSet。不允许在 区域 example.kr. 中的顶点]

我有一个

A record

example.kr

是我按照

https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/routing-to-elb-load-balancer.html

中的说明创建的

RRSet 类型为 CNAME，DNS 名称为 foo.com。 is not permitted at apex in zone bar.com 说我收到错误消息是因为我有域的

SOA

记录，我不知道为什么我有这个记录，也不知道我是否需要它。

我可以简单地删除

SOA

记录并继续还是我应该采取不同的步骤？

Answer 1

在我看来，您看到的错误是因为您在根记录（称为 Apex 记录）上设置了

CNAME

。这应该是一个 A 记录（如果可能的话，或者是 Route 53 中的 Alias 记录）。

对于通过 CNAME 验证您的证书，您将获得一个 CNAME 记录和一个值。

CNAME 记录应以下划线开头，后跟大哈希，例如

_a79865eb4cd1a6ab990a45779b4e0b96.yourdomain.com

.

如果使用 Route 53 你应该只需要输入

_a79865eb4cd1a6ab990a45779b4e0b96

作为

CNAME

类型的域名

然后您将具有类似于

_x2.acm-validations.aws.

的值。这需要成为你的价值。

Answer 2

需要到AWS Certificate Manager选择列表证书，选择需要更新的证书。在域下单击按钮“在 Route 53 中创建记录”。这会将您带到一个新页面，您可以在其中单击“创建记录”。

DNS 传播记录通常需要 30 分钟，亚马逊可能需要几个小时来验证它并颁发证书。

您还可以查看此博文了解更多信息。