# Amazon Trust Services：AWS 的 CA 与 ACME

> AWS Certificate Manager 背后的 CA：Amazon Root CA 1–4，AWS 服务免费证书，可导出证书，以及 2026 年推出的 ACME。

Source: https://ssl.sh/zh/cas/amazon/
Last updated: 2026-11-10

Amazon Trust Services 是 AWS Certificate Manager（ACM）背后的证书颁发机构，为 AWS 客户签发 DV 证书：用在 AWS 负载均衡、CloudFront 等集成服务上免费；需要导出，或通过 2026 年新增的 ACM ACME 接口签发时收费。

## 所有者与总部

这家 CA 由美国公司亚马逊运营，CCADB 中的 CA 所有者是 Amazon Trust Services，根证书中的组织名是“Amazon”，国家为 US。

## 根证书

截至 2026 年 11 月，CCADB 在 Amazon Trust Services 名下列出 5 张根证书。Amazon Root CA 1（RSA 2048）、2（RSA 4096）、3（ECDSA P-256）、4（ECDSA P-384）创建于 2015 年，有效至 2038–2040 年，被 Chrome、Mozilla、Apple、微软同时信任用于 TLS。第 5 张 Starfield Services Root Certificate Authority - G2（2009–2037 年）在亚马逊的证书库中被描述为兼容旧根存储的老根证书，已被 Chrome 移除，其他根存储仍收录。亚马逊建议自定义信任库把这 5 张都加上。aws.amazon.com 自己的证书链就是从 Amazon Root CA 1 再到 Starfield Services Root G2 签发的交叉证书。

## 证书产品

通过 ACM 签发的 DV 证书，支持多域名和通配符。AWS 另外销售私有证书颁发机构（AWS Private CA），与公开受信任的证书体系相互独立，适合内网服务和设备证书。国内用户使用的 AWS 中国区由本地合作方运营，可用的证书服务以中国区控制台和文档为准。

## ACME 支持

支持，2026 年起。AWS 宣布 ACM 支持公开证书的 ACME：托管的 ACME 接口可为任意 ACMEv2 客户端签发 Amazon Trust Services 证书，并通过 IAM 统一管控。ACME 证书有效期 45 天，比 ACM 的其他公开证书更短。AWS 的公告说明，中国区等区域的 ACME 支持会晚些推出。

## 免费证书

ACM 公开证书用于集成的 AWS 服务时免费，但私钥不能导出，也就无法装到自己的 Nginx 服务器上。按 ACM 定价页，可导出的公开证书和 ACME 证书按域名收费。

## 重大事件

我们没有找到涉及 Amazon Trust Services 的重大不信任事件。对运维来说，变化主要在价格和可移植性两方面：有了可导出证书和 ACME 证书后，Amazon Trust Services 的证书也能用在 AWS 之外；ACM 还表示计划缩短公开证书有效期，以配合 CA/B 论坛 2026–2029 年的时间表（[SC-081v3](https://ssl.sh/zh/ballots/sc-081/)）。


## 根证书（CCADB）

Amazon Trust Services 在 CCADB TLS 报告里有 5 张根证书，它们一共签发了 114 张中间证书，其中 94 张仍有效。

| 根证书 | 密钥 | 到期时间 | Chrome | Mozilla | Apple | Microsoft | 中间证书 | SHA-256 |
|---|---|---|---|---|---|---|---|---|
| Amazon Root CA 1 | RSA 2048 | 2038-01-17 | 已收录 | 已收录 | 已收录 | 已收录 | 33 | 8ECDE6884F3D87B1125BA31AC3FCB13D7016DE7F57CC904FE1CB97C6AE98196E |
| Amazon Root CA 2 | RSA 4096 | 2040-05-26 | 已收录 | 已收录 | 已收录 | 已收录 | 5 | 1BA5B2AA8C65401A82960118F80BEC4F62304D83CEC4713A19C39C011EA46DB4 |
| Amazon Root CA 3 | ECDSA P-256 | 2040-05-26 | 已收录 | 已收录 | 已收录 | 已收录 | 21 | 18CE6CFE7BF14E60B2E347B8DFE868CB31D02EBB3ADA271569F50343B46DB3A4 |
| Amazon Root CA 4 | ECDSA P-384 | 2040-05-26 | 已收录 | 已收录 | 已收录 | 已收录 | 45 | E35D28419ED02025CFA69038CD623962458DA5C695FBDEA3C22B0BFB25897092 |
| Starfield Services Root Certificate Authority - G2 | RSA 2048 | 2037-12-31 | 已移除 | 已收录 | 已收录 | 已收录 | 10 | 568D6905A2C88708A4B3025190EDCFEDB1974A606A13C6E5290FCB2AE63EDAB5 |

Amazon Trust Services 运营、但挂在其他 CA 根证书下的有效中间证书（CCADB 数据，括号里是有效中间证书数量）：

- GoDaddy: 2

## CAA 记录

CCADB 登记了 10 个被 Amazon Trust Services 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 Amazon Trust Services 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。

```
example.com. CAA 0 issue "amazon.com"
example.com. CAA 0 issue "amazonaws.com"
example.com. CAA 0 issue "amazonaws.eu"
```

## 审计信息

CCADB 为 Amazon Trust Services 的 TLS 根证书登记的审计信息。审计机构：BDO International Limited。最近一次审计期间截至 2026-01-15。

- 标准审计: WebTrust 2025-01-16 – 2026-01-15 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=ac521beb-0497-4d0e-879e-84e68c22f8f3)
- 网络安全审计: WebTrust 2025-01-16 – 2026-01-15 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=f460b52c-0d95-4a89-87be-c80c66658868)
- TLS 基线要求审计: WebTrust 2025-01-16 – 2026-01-15 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=2b7a4fd7-be28-4dd3-93c2-18491f1ff5b3)
- TLS EV 指南审计: WebTrust 2025-01-16 – 2026-01-15 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=bae8d562-52fd-4dfe-a9fb-d661c4c2dd0d)

## CP/CPS 文档

Amazon Trust Services 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期：

- CP/CPS: https://www.amazontrust.com/repository/ats-cp-cps-2.7.pdf

## 问题上报渠道

要上报错误签发的证书、私钥泄露或证书滥用，请用 Amazon Trust Services 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：

- https://www.amazontrust.com/repository/

## 事故记录

加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“Amazon Trust”这些词的报告： https://bugzilla.mozilla.org/buglist.cgi?query_format=advanced&product=CA+Program&component=CA+Certificate+Compliance&short_desc_type=allwords&short_desc=Amazon+Trust&order=changeddate+DESC

## 常见问题

**ACM 的免费证书能装到自己的服务器上吗？**

免费的不行。ACM 免费公开证书只能用于集成的 AWS 服务，私钥无法导出。可导出的公开证书和通过 ACME 签发的证书可以用在任何地方，但按域名收费。

**允许 Amazon Trust Services 签发证书的 CAA 记录怎么写？**

写一条 example.com. CAA 0 issue "amazon.com" 即可。CCADB 为 Amazon Trust Services 登记了 10 个认可的域名：amazon.com、amazonaws.com、amazonaws.eu、amazontrust.com、amazontrustservices.eu、aws.amazon.com、amznts.eu、awstrust.com…。

**Amazon Trust Services 由谁审计？**

按 CCADB 记录，审计机构是 BDO International Limited。最近一次TLS 基线要求审计（WebTrust）覆盖 2025-01-16 至 2026-01-15，报告日期 2026-04-07。

**怎么向 Amazon Trust Services 上报有问题的证书？**

用 CCADB 登记的渠道：https://www.amazontrust.com/repository/。

来源：CCADB 的 All Certificate Information（V5）、List of CAA Identifiers、List of CA problem reporting mechanisms 和 TLS Server Authentication 报告（ccadb.org/resources）。