วิธีรับมือเมื่อ ACM certificate ที่สร้างใหม่ ไม่เปลี่ยนจากสถานะ Pending validation

ปัญหาที่เกิดขึ้น

ACM certificate ที่สร้างขึ้นใหม่ขึ้นสถานะ pending DNS validation มาเป็นเวลานานแล้วครับ ต้องรอเท่าไรถึงจะเปลี่ยนสถานะครับ
มีวิธีตรวจสอบสถานะ หรือ ความคืบหน้าของ DNS validation ไหมครับ

วิธีแก้ปัญหา

สาเหตุที่ certificate เป็น Pending validation อยู่เป็นเวลานาน มีความเป็นไปได้สูงว่า CNAME Record ไม่ได้ถูกลงทะเบียนอย่างถูกต้องใน DNS host server ของ domain
โดยให้ลองใช้ Command ด้านล่างนี้เพื่อทำการตรวจสอบว่า ชื่อ domain name ของ CNAME Record ของ Certificate ที่เราสร้างขึ้นสามารถทำการ name resolution ได้หรือไม่

# ในกรณีของ Linux หรือ macOS 
$ dig +short _example-cname.example.com

# ในกรณีของ Windows
> nslookup -type=cname _example-cname.example.com

หากไม่มีค่า CNAME Record ตอบกลับมา หมายความว่าเราจำเป็นต้องบันทึก CNAME Record ที่ DNS host server ครับ

ให้ทำการตรวจสอบ [ชื่อ CNAME] กับ [ค่า CNAME] ของ ACM Certificate ที่แสดงขึ้นใน AWS Console

หลังจากทำการลงทะเบียน CNAME Record นี้แล้ว Verification status จะเปลี่ยนไป
หลังจากการลงทะเบียนแล้วมีบางกรณีที่อาจจะต้องรอในการ Verification

Resolve CNAME record not resolving for ACM certificates still pending validation | AWS re:Post

(แปลโดยผู้เขียน)

หมายเหตุ: บางผู้ให้บริการ DNS อาจใช้เวลา 24-48 ชั่วโมงในการกระจาย DNS records ของพวกเขา

(ต้นฉบับ)

Note: Some DNS providers can take 24–48 hours to propagate DNS records.

เพิ่มเติม

สำหรับข้อมูลเพิ่มเติมคือ เมื่อเราทำการ request DNS validation ของ certificate เกิน 72 ชั่วโมง การ validation จะ timeout ครับ และโปรดทราบว่าหลังจากการ validation เกิดการ timeout แล้ว จำเป็นต้องส่ง Request สร้าง certificate ใหม่อีกรอบ

DNS validation - AWS Certificate Manager

(แปลโดยผู้เขียน)

หาก ACM ไม่สามารถยืนยันชื่อ domain ภายใน 72 ชั่วโมงนับจากเวลาที่มันสร้างค่า CNAME ให้คุณ ACM จะเปลี่ยนสถานะของ certificate เป็น Validation timed out โดยสาเหตุที่เป็นไปได้ที่สุดสำหรับผลลัพธ์นี้คือคุณไม่ได้อัปเดตการกำหนดค่า DNS ของคุณด้วยค่าที่ ACM สร้างขึ้น หากต้องการแก้ไขปัญหานี้ คุณจำเป็นต้อง request certificate ใหม่หลังจากตรวจสอบขั้นตอนของ CNAME แล้ว

(ต้นฉบับ)

If ACM is not able to validate the domain name within 72 hours from the time it generates a CNAME value for you, ACM changes the certificate status to Validation timed out. The most likely reason for this result is that you did not successfully update your DNS configuration with the value that ACM generated. To remedy this issue, you must request a new certificate after reviewing the CNAME instructions.

หากสร้างอีกครั้งแฃ้วยังไม่สามารถสร้างให้สำเร็จได้ กรุณาตรวจสอบข้อควรระวังต่างๆ ตามด้านล่างนี้

Resolve CNAME record not resolving for ACM certificates still pending validation | AWS re:Post

(แปลโดยผู้เขียน)

• CNAME record ไม่ได้ถูกเพิ่มเข้าสู่การกำหนดค่า DNS ที่ถูกต้อง
  
• CNAME record มีตัวอักษรเพิ่มเติมหรือขาดหายไป
  
• CNAME record ถูกเพิ่มเข้าสู่การกำหนดค่า DNS ที่ถูกต้อง แต่ผู้ให้บริการ DNS ใส่โดเมนเปล่าในส่วนท้ายของ DNS record อัตโนมัติ
  
• CNAME record และ TXT record ปรากฎในชื่อ domian เดียวกัน
  

(ต้นฉบับ)

• The CNAME record isn’t added to the correct DNS configuration.
  
• The CNAME record has additional characters or is missing characters.
  
• The CNAME record added to the correct DNS configuration, but the DNS provider automatically adds the bare domain to the end of its DNS records.
  
• A CNAME record and a TXT record exist for same domain name.
  

Troubleshoot DNS validation problems - AWS Certificate Manager

(แปลโดยผู้เขียน)

• ผู้ให้บริการ DNS ไม่ให้ใช้เครื่องหมายขีดเส้นใต้ (Underscore)

• การเพิ่มจุดต่อท้ายของบางผู้บริการ DNS
• การ DNS validation ล้มเหลวที่ GoDaddy
• หน้าคอนโซล ACM ไม่แสดงปุ่ม "Create record in Route 53"
• Route 53 validation ล้มเหลวใน private (untrusted) domains
• Validation สำหรับ DNS server ใน VPN ล้มเหลว
• Validation สำหรับ DNS ประสบความสำเร็จ แต่ issuance หรือ renewal ล้มเหลว

(ต้นฉบับ)

• Underscores prohibited by DNS provider
• Default trailing period added by DNS provider
• DNS validation on GoDaddy fails
• ACM Console does not display "Create record in Route 53" button
• Route 53 validation fails on private (untrusted) domains
• Validation fails for DNS server on a VPN
• Validation for DNS is successful but issuance or renewal fails

บทความอ้างอิง

• Resolve CNAME record not resolving for ACM certificates still pending validation | AWS re:Post (English)
• DNS validation - AWS Certificate Manager (English)
• Troubleshoot DNS validation problems - AWS Certificate Manager (English)
• 【Technical Support Note】จะทำอย่างไรถ้าการต่ออายุใบรับรอง ACM certificate โดยอัตโนมัติที่ใช้ DNS verification ล้มเหลว | DevelopersIO
• การตั้งค่า Free SSL กับ DNS ใน CloudFront โดยใช้ ACM กับ Route 53 | DevelopersIO

บทความต้นฉบับ

ACM で新規作成した証明書が保留中から変更されない場合の対処方法について教えてください | DevelopersIO (Japanese)