证书颁发机构
Amazon Trust Services：AWS 的 CA 与 ACME
详细信息
- CCADB 中的 CA 所有者
- Amazon Trust Services
- 国家/地区
- US
- 所在国家（CCADB）
- United States of America
- ACME
- 是
- 免费证书
- 是
- 产品
- DV wildcard multi-domain private-PKI
- 根证书
- 5
- 信任用于 TLS 的根证书数
- Chrome 4 · Mozilla 5 · Apple 5 · Microsoft 5
- 其根证书签发的中间证书
- 114 张（94 张有效）
- 审计机构
- BDO International Limited
- CAA
amazon.com
Amazon Trust Services 是 AWS Certificate Manager（ACM）背后的证书颁发机构，为 AWS 客户签发 DV 证书：用在 AWS 负载均衡、CloudFront 等集成服务上免费；需要导出，或通过 2026 年新增的 ACM ACME 接口签发时收费。
所有者与总部
这家 CA 由美国公司亚马逊运营，CCADB 中的 CA 所有者是 Amazon Trust Services，根证书中的组织名是“Amazon”，国家为 US。
根证书
截至 2026 年 11 月，CCADB 在 Amazon Trust Services 名下列出 5 张根证书。Amazon Root CA 1（RSA 2048）、2（RSA 4096）、3（ECDSA P-256）、4（ECDSA P-384）创建于 2015 年，有效至 2038–2040 年，被 Chrome、Mozilla、Apple、微软同时信任用于 TLS。第 5 张 Starfield Services Root Certificate Authority - G2（2009–2037 年）在亚马逊的证书库中被描述为兼容旧根存储的老根证书，已被 Chrome 移除，其他根存储仍收录。亚马逊建议自定义信任库把这 5 张都加上。aws.amazon.com 自己的证书链就是从 Amazon Root CA 1 再到 Starfield Services Root G2 签发的交叉证书。
证书产品
通过 ACM 签发的 DV 证书，支持多域名和通配符。AWS 另外销售私有证书颁发机构（AWS Private CA），与公开受信任的证书体系相互独立，适合内网服务和设备证书。国内用户使用的 AWS 中国区由本地合作方运营，可用的证书服务以中国区控制台和文档为准。
ACME 支持
支持，2026 年起。AWS 宣布 ACM 支持公开证书的 ACME：托管的 ACME 接口可为任意 ACMEv2 客户端签发 Amazon Trust Services 证书，并通过 IAM 统一管控。ACME 证书有效期 45 天，比 ACM 的其他公开证书更短。AWS 的公告说明，中国区等区域的 ACME 支持会晚些推出。
免费证书
ACM 公开证书用于集成的 AWS 服务时免费，但私钥不能导出，也就无法装到自己的 Nginx 服务器上。按 ACM 定价页，可导出的公开证书和 ACME 证书按域名收费。
重大事件
我们没有找到涉及 Amazon Trust Services 的重大不信任事件。对运维来说，变化主要在价格和可移植性两方面：有了可导出证书和 ACME 证书后，Amazon Trust Services 的证书也能用在 AWS 之外；ACM 还表示计划缩短公开证书有效期，以配合 CA/B 论坛 2026–2029 年的时间表（SC-081v3）。
CAA 记录
CCADB 登记了 10 个被 Amazon Trust Services 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 Amazon Trust Services 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。
前 3 个域名对应的记录，可以直接复制：
example.com. CAA 0 issue "amazon.com"
example.com. CAA 0 issue "amazonaws.com"
example.com. CAA 0 issue "amazonaws.eu"| 域名 | 认可它的有效中间证书 |
|---|---|
amazon.com | 110 |
amazonaws.com | 110 |
amazonaws.eu | 110 |
amazontrust.com | 110 |
amazontrustservices.eu | 110 |
aws.amazon.com | 110 |
amznts.eu | 110 |
awstrust.com | 110 |
godaddy.com | 1 |
starfieldtech.com | 1 |
需要 issuewild、iodef 或各家 DNS 服务商的格式，可以用 CAA 记录生成器： CAA 记录生成
根证书（CCADB）
Amazon Trust Services 在 CCADB TLS 报告里有 5 张根证书，它们一共签发了 114 张中间证书，其中 94 张仍有效。
该 CA 所有者在 CCADB TLS Server Authentication 报告中的根证书，以及在各根存储的当前状态。
- 信任用于 TLS
- 有条件收录（NotBefore / 无 TLS 信任位）
- 已移除或已拉黑
- 未收录
| 根证书 | 密钥 | 到期时间 | Ch | Mo | Ap | MS | 中间证书 |
|---|---|---|---|---|---|---|---|
| Amazon Root CA 1 | RSA 2048 | 2038-01-17 | 已收录 | 已收录 | 已收录 | 已收录 | 33 (27) |
| Amazon Root CA 2 | RSA 4096 | 2040-05-26 | 已收录 | 已收录 | 已收录 | 已收录 | 5 (5) |
| Amazon Root CA 3 | ECDSA P-256 | 2040-05-26 | 已收录 | 已收录 | 已收录 | 已收录 | 21 (15) |
| Amazon Root CA 4 | ECDSA P-384 | 2040-05-26 | 已收录 | 已收录 | 已收录 | 已收录 | 45 (39) |
| Starfield Services Root Certificate Authority - G2 | RSA 2048 | 2037-12-31 | 已移除 | 已收录 | 已收录 | 已收录 | 10 (8) |
Amazon Trust Services 运营、但挂在其他 CA 根证书下的有效中间证书（CCADB 数据，括号里是有效中间证书数量）：
- GoDaddy (2)
审计信息
CCADB 为 Amazon Trust Services 的 TLS 根证书登记的审计信息。审计机构：BDO International Limited。最近一次审计期间截至 2026-01-15。
| 审计项目 | 审计标准 | 审计期间 | 报告日期 | 报告 |
|---|---|---|---|---|
| 标准审计 | WebTrust | 2025-01-16 – 2026-01-15 | 2026-04-07 | cpacanada.ca |
| 网络安全审计 | WebTrust | 2025-01-16 – 2026-01-15 | 2026-04-07 | cpacanada.ca |
| TLS 基线要求审计 | WebTrust | 2025-01-16 – 2026-01-15 | 2026-04-07 | cpacanada.ca |
| TLS EV 指南审计 | WebTrust | 2025-01-16 – 2026-01-15 | 2026-04-07 | cpacanada.ca |
CP/CPS 文档
Amazon Trust Services 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期：
- CP/CPS: https://www.amazontrust.com/repository/ats-cp-cps-2.7.pdf (2026-08-19 起生效)
- 文档库: https://www.amazontrust.com/repository/
问题上报渠道
要上报错误签发的证书、私钥泄露或证书滥用，请用 Amazon Trust Services 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：
事故记录
加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“Amazon Trust”这些词的报告：
常见问题
ACM 的免费证书能装到自己的服务器上吗？
免费的不行。ACM 免费公开证书只能用于集成的 AWS 服务，私钥无法导出。可导出的公开证书和通过 ACME 签发的证书可以用在任何地方，但按域名收费。
允许 Amazon Trust Services 签发证书的 CAA 记录怎么写？
写一条 example.com. CAA 0 issue "amazon.com" 即可。CCADB 为 Amazon Trust Services 登记了 10 个认可的域名：amazon.com、amazonaws.com、amazonaws.eu、amazontrust.com、amazontrustservices.eu、aws.amazon.com、amznts.eu、awstrust.com…。
Amazon Trust Services 由谁审计？
按 CCADB 记录，审计机构是 BDO International Limited。最近一次TLS 基线要求审计（WebTrust）覆盖 2025-01-16 至 2026-01-15，报告日期 2026-04-07。
怎么向 Amazon Trust Services 上报有问题的证书？
用 CCADB 登记的渠道：https://www.amazontrust.com/repository/。