AWS ACM 인증서 재발급 시 DNS 검증 레코드는 변경될까?

안녕하세요 클래스메소드 김재욱(Kim Jaewook) 입니다. 이번 블로그에서는 AWS ACM(AWS Certificate Manager) 인증서를 재발급했을 때 DNS 검증 레코드(CNAME)가 변경되는지 확인해 보았습니다.

ACM을 사용하다 보면 인증서 검증에 실패하거나 실수로 인증서를 삭제한 후 다시 생성해야 하는 경우가 있습니다. 이때 기존 DNS 검증 레코드를 그대로 사용할 수 있는지, 아니면 새로운 CNAME 레코드를 등록해야 하는지 궁금할 수 있습니다.

실제로 인증서를 생성하고 재발급하는 과정을 통해 DNS 검증 레코드가 어떻게 동작하는지 확인해 보겠습니다.

ACM 증명서 생성

먼저 테스트를 위해 아래 두 도메인으로 ACM 인증서를 생성했습니다.

• test.jaewook.co.jp
• *.jaewook.co.jp

인증서 생성 후 DNS 검증에 필요한 CNAME 레코드가 생성된 것을 확인할 수 있습니다.
※ 보안상 도메인 검증에 사용되는 주요 정보는 일부 마스킹 처리했습니다.

이어서 생성한 ACM 인증서를 삭제한 후 동일한 도메인(test.jaewook.co.jp, *.jaewook.co.jp)으로 다시 생성해 보았습니다.

그 결과, 새롭게 생성된 인증서의 DNS 검증 레코드를 확인해 보니 이전에 발급받았던 인증서와 동일한 CNAME 레코드가 생성된 것을 확인할 수 있었습니다.

즉, 동일한 AWS 계정에서 동일한 도메인에 대해 ACM 인증서를 다시 생성하더라도 DNS 검증용 CNAME 레코드는 변경되지 않았습니다. 기존 레코드와 비교해 보더라도 CNAME 이름(Name)과 값(Value)이 모두 동일한 것을 확인할 수 있습니다. 따라서 이미 DNS에 검증 레코드가 등록되어 있다면 인증서를 재생성하더라도 별도의 DNS 레코드 수정 없이 검증이 진행될 수 있습니다.

기존 레코드와 비교해 보더라도 CNAME 이름(Name)과 값(Value)이 모두 동일한 것을 확인할 수 있습니다. 따라서 이미 DNS에 검증 레코드가 등록되어 있다면 인증서를 재생성하더라도 별도의 DNS 레코드 수정 없이 검증이 진행될 수 있습니다.

왜 동일한 CNAME이 생성될까?

ACM에서 DNS 검증 방식을 사용하는 경우, 검증용 CNAME 레코드는 인증서 자체가 아닌 AWS 계정과 도메인 이름의 조합을 기준으로 생성됩니다.

따라서 동일한 AWS 계정에서 동일한 도메인에 대해 인증서를 다시 생성하더라도 새로운 검증 레코드가 발급되는 것이 아니라 기존과 동일한 CNAME 레코드가 제공됩니다.

이러한 특성 덕분에 한 번 DNS 검증이 완료된 도메인은 이후 동일한 계정에서 인증서를 재발급하거나 추가로 생성하더라도 DNS 레코드를 다시 등록할 필요가 없습니다. 또한 ACM은 인증서 갱신 시에도 동일한 검증 레코드를 활용하여 자동 갱신을 수행합니다.

즉, 이번 테스트에서 인증서를 삭제한 후 다시 생성했음에도 동일한 CNAME 레코드가 생성된 것은 ACM의 정상적인 동작이라고 볼 수 있습니다.

정리하면 다음과 같습니다.

• 동일한 AWS 계정에서 동일한 도메인으로 인증서를 재생성하면 DNS 검증용 CNAME 레코드는 동일하게 생성된다.
• 기존 CNAME 레코드가 DNS에 등록되어 있다면 별도의 DNS 수정 없이 검증이 가능하다.
• ACM 인증서 자동 갱신에도 동일한 검증 레코드가 사용된다.
• 다른 AWS 계정에서 동일한 도메인으로 인증서를 생성하는 경우에는 다른 검증 레코드가 생성될 수 있다.

다른 계정에서 생성해 보면?

같은 AWS 계정에서는 동일한 CNAME 레코드가 생성되는 것을 확인했습니다. 그렇다면 다른 AWS 계정에서 동일한 도메인으로 ACM 인증서를 생성하면 어떨까요?

실제로 다른 AWS 계정에서 동일한 도메인(test.jaewook.co.jp, *.jaewook.co.jp)으로 인증서를 생성해 보았습니다.

그 결과, 이번에는 기존 계정에서 생성된 CNAME 레코드와 다른 값이 생성된 것을 확인할 수 있었습니다.
※ 보안상 도메인 검증에 사용되는 주요 정보는 일부 마스킹 처리했습니다.

이를 통해 ACM의 DNS 검증 레코드는 단순히 도메인 이름만을 기준으로 생성되는 것이 아니라, AWS 계정 정보도 함께 반영되어 생성된다는 것을 확인할 수 있었습니다.

즉, 동일한 도메인이라도 계정이 달라지면 새로운 DNS 검증용 CNAME 레코드가 발급되며, 해당 계정에서 인증서를 사용하기 위해서는 새로 생성된 CNAME 레코드를 DNS에 등록하여 검증을 완료해야 합니다.

정리하면 다음과 같습니다.

• 동일한 AWS 계정 + 동일한 도메인 → 동일한 CNAME 레코드 생성
• 다른 AWS 계정 + 동일한 도메인 → 새로운 CNAME 레코드 생성
• ACM의 DNS 검증 레코드는 도메인뿐만 아니라 AWS 계정에도 종속된다.

따라서 여러 AWS 계정에서 동일한 도메인에 대한 ACM 인증서를 관리하는 경우에는 계정별로 생성되는 DNS 검증 레코드를 확인하고 등록해야 합니다.

마무리

이번 블로그에서는 AWS ACM 인증서를 재발급(재생성)했을 때 DNS 검증용 CNAME 레코드가 변경되는지 확인해 보았습니다.

테스트 결과, 동일한 AWS 계정에서 동일한 도메인으로 ACM 인증서를 다시 생성하는 경우 기존과 동일한 CNAME 레코드가 생성되었습니다. 따라서 이미 DNS에 검증 레코드가 등록되어 있다면 인증서를 재생성하더라도 별도의 DNS 수정 없이 검증을 진행할 수 있습니다.

반면, 다른 AWS 계정에서 동일한 도메인으로 인증서를 생성했을 때는 새로운 CNAME 레코드가 생성되었습니다. 이를 통해 ACM의 DNS 검증 레코드는 단순히 도메인만을 기준으로 생성되는 것이 아니라 AWS 계정 정보도 함께 반영된다는 것을 확인할 수 있었습니다.

정리하면 다음과 같습니다.

• 동일한 AWS 계정에서 동일한 도메인으로 인증서를 재생성하면 기존과 동일한 CNAME 레코드가 생성된다.
• 기존 DNS 검증 레코드가 등록되어 있다면 추가적인 DNS 수정 작업은 필요하지 않다.
• 다른 AWS 계정에서 동일한 도메인으로 인증서를 생성하면 새로운 CNAME 레코드가 생성된다.
• 여러 AWS 계정에서 동일한 도메인을 사용하는 경우 계정별 DNS 검증 레코드를 확인해야 한다.

이번 테스트를 통해 검증에 실패한 ACM 인증서를 다시 생성해야 하는 상황에서도 동일 계정이라면 기존 DNS 검증 레코드를 그대로 사용할 수 있다는 점을 확인할 수 있었습니다. 비슷한 상황을 겪고 계신 분들에게 도움이 되었으면 합니다.