[AWS Technical Support Note] จะทำอย่างไรถ้าการต่ออายุใบรับรอง ACM certificate โดยอัตโนมัติที่ใช้ DNS verification ล้มเหลว

นี่เป็นบทความแปล ที่มีเนื้อหามาจากบทความภาษาญี่ปุ่นของ Classmethod, Inc. ในหัวข้อ「DNS 検証を利用しての ACM 証明書自動更新が失敗した時の対処方法」 หากผู้อ่านสนใจอ่านเนื้อหาต้นฉบับสามารถอ่านได้ที่ลิ้งค์ "บทความต้นฉบับ" ด้านล่าง เนื้อหาในบทความนี้การอธิบายบางอย่างจะถูกปรับให้เข้าใจง่ายขึ้นทำให้แตกต่างจากต้นฉบับในบางจุด

#Classmethod Thailand

#Thai Language

#AWS

#AWS-Thai

#AWS Certificate Manager（ACM）

Supanut Akaram

2022.06.29

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

ปัญหาที่เกิดขึ้น

การต่ออายุใบรับรอง ACM certificate โดยอัตโนมัติที่ใช้ DNS verification เกิดความล้มเหลว ทำไมการต่ออายุใบรับรอง ACM certificate โดยอัตโนมัติปีที่แล้วถึงทำงานได้ปกติ แต่ปีนี้เกิดความผิดพลาดขึ้น

ให้ตรวจสอบการตั้งค่าต่อไปนี้

ให้ตรวจสอบตั้งแต่ CNAME Record สำหรับ domain verification ที่ใช้ ACM จนถึงขั้นตอนการลงทะเบียน(register)ใน Host zone (zone file) ว่ามีการเปลี่ยนแปลงหรือไม่
ถ้า CNAME Record สำหรับ domain verification ถูกลบจาก Host zone (zone file) จะไม่สามารตรวจสอบเป้าหมาย Domain ที่จะต่ออายุใบรับรอง ACM certificate โดยอัตโนมัติได้ ทำให้การต่ออายุใบรับรอง ACM certificate โดยอัตโนมัติล้มเหลวครับ

DNS validation - AWS Certificate Manager

ACM automatically renews your certificate as long as the certificate is in use and your CNAME record remains in place.

ในกรณีที่ภายหลังการต่ออายุ certificate ปีที่แล้ว มีการเริ่มใช้ CAA Record ละก็ ให้ตรวจสอบว่าในค่าของ CAA Record มีชื่อ Domain ต่อไปนี้หรือไม่ (amazon.com、amazontrust.com、awstrust.com、amazonaws.com)

Certification Authority Authorization (CAA) problems - AWS Certificate Manager

If you receive an error during certificate issuance that says One or more domain names have failed validation due to a Certification Authority Authorization (CAA) error, check your CAA DNS records. If you receive this error after your ACM certificate request has been successfully validated, you must update your CAA records and request a certificate again.

CAA Record คืออะไร

CAA Record คือ กลไกที่ป้องกันการออก certificate โดยบุคคลอื่นที่ไม่ใช่ผู้ถือ Domain ครับ
เมื่อผู้ออก certificate (CA) ออก certificate ระบบจะตรวจสอบ CAA Record เพื่อดูว่าเจ้าของ Domain อนุญาตให้ผู้ออก certificate ออก certificate หรือไม่

สรุป

ในช่วงพักหลังมามีลูกค้าหลายท่านมีการใช้ CAA Record เพิ่มมากขึ้นเพื่อการเพิ่มระดับรักษาความปลอดภัย(Security)
เมื่อมีการถามเข้ามากับทาง Technical Support เกี่ยวกับการต่ออายุใบรับรอง ACM certificate โดยอัตโนมัติที่ใช้ DNS verification ล้มเหลว เราจะให้คุณลูกค้าทำการตรวจสอบว่า CNAME Record สำหรับ domain verification ไม่ได้ถูกลบไป และเป็น CAA Record ที่พึ่งเริ่มใช้ไม่ถึงปี หรือเปล่า

บทความต้นฉบับ

DNS 検証を利用しての ACM 証明書自動更新が失敗した時の対処方法 | DevelopersIO

เกี่ยวกับ AWS Technical Support Note

นี่เป็นบทความที่จะแนะนำเกี่ยวกับ ทริปต่างๆ ที่เกิดจากการสอบถามปัญหาต่างๆเกี่ยวกับ AWS ในอดีต ที่จะมารวมรวบรวมนำมาเสนอเป็นบทความโดย Technical Support Thailand Team เอง
และยังมีการให้บริการสนับสนุนด้านเทคนิคฟรี โปรดดูรายละเอียดจากลิ้งค์ด้านล่าง