AWS CloudFormation：编写一个 Lambda 函数来验证 ACM 证书的域所有权

Question

我正在 CloudFormation 中创建ACM Cert 。 根据此文档，AWS 会向在 WHOIS 中注册的地址发送一封电子邮件。

CloudFormation 的文档说：

重要的

当您在 AWS CloudFormation 堆栈中使用 AWS::CertificateManager::Certificate 资源时，堆栈将保持 CREATE_IN_PROGRESS 状态，任何进一步的堆栈操作都将延迟，直到您按照证书验证电子邮件中的说明进行操作。

通常对于类似的事情，比如VPC peering connection in multiple accounts创建和接受VPC peering connection in multiple accounts ，或者启用在 CFN 中创建的SNS Topic subscriptions ，我编写一个 lambda 函数作为自定义资源来处理它。

验证域所有权所需的 API 调用是什么？ 这甚至可以在 Lambda 函数中完成吗？

电子邮件很有可能会发送给 IT 经理，但如果能自动完成就更好了。

Answer 1

没有 API 调用来验证域所有权，因为这需要使用您的 whois 记录中的电子邮件进行验证。

您也可以通过这种方式使其自动化。 将 whois 记录的技术联系人电子邮件地址更改为 ses 域电子邮件地址。

SES Email --> S3 Bucket (Trigger) --> Lambda（通过邮件内容中的链接确认）。

您需要将您的电子邮件地址恢复到您的收件箱，以防需要向与您的域或子域相关的技术联系人发送任何电子邮件。

域验证文档：

http://docs.aws.amazon.com/acm/latest/userguide/gs-acm-validate.html

谢谢！

Answer 2

此存储库aws-cfn-acm包含一个 CloudFormation 模板，其中包含一个 Lambda 函数，其工作方式与您的要求类似。

Lambda 函数通过DNS方法自动验证证书，而不是您使用的EMAIL方法。 它要求与证书相关的域名必须托管在name.com 。 name.com 提供了 Lambda 函数可以利用的 API 服务。 应该很容易扩展以支持其他 DNS 服务提供商。

模板使用的是内联Lambda函数，代码不太好读，这里是一个格式良好的Lambda函数版本。