Bài viết này do AI tạo ra, biên soạn từ công bố chính thức của AWS.
AWS Certificate Manager (ACM) đã cho phép chuyển phương thức xác thực tên miền của chứng chỉ TLS công khai đang tồn tại từ email sang DNS mà không cần cấp lại chứng chỉ và không đổi Amazon Resource Name (ARN). Thay đổi này đáng chú ý với đội vận hành AWS đang dùng ACM trên Application Load Balancer, CloudFront hoặc pipeline CI/CD, vì CA/B Forum sẽ loại bỏ email-based domain validation với chứng chỉ công khai.
Email validation phụ thuộc mailbox quản trị, contact WHOIS hoặc alias còn hoạt động. Khi chủ domain, registrar hoặc nhân sự thay đổi, renewal có thể bị chặn bởi email không ai quản lý. DNS validation dùng CNAME do ACM cung cấp để chứng minh quyền kiểm soát domain. Khi CNAME được duy trì, ACM có thể tự động gia hạn chứng chỉ mà không cần người trực email mỗi kỳ.
Điểm thực dụng nhất là ACM không tạo certificate mới cho thao tác chuyển đổi này. ARN giữ nguyên, do đó listener của ALB/NLB, cấu hình CloudFront, Terraform state, CloudFormation, script API và quyền IAM đang tham chiếu ARN cũ tiếp tục dùng được. Điều này giảm đáng kể rủi ro so với quy trình tạo certificate mới, gắn lại listener rồi thu hồi certificate cũ.
Quản trị viên có thể dùng ACM Console hoặc API UpdateCertificateOptions. ACM cung cấp CNAME cho từng domain hoặc SAN; cần tạo bản ghi tại DNS authoritative zone tương ứng rồi theo dõi trạng thái xác thực. Với Route 53, thao tác thường dễ tự động hóa hơn; DNS ngoài AWS vẫn làm được nhưng cần chắc TTL, quyền ghi zone và quy trình giữ record khi chuyển registrar.
DNS validation không tự chữa mọi lỗi certificate. Certificate vẫn phải nằm đúng Region/dịch vụ hỗ trợ, domain phải còn được kiểm soát và CNAME phải phân giải được từ DNS công khai. Đội có split DNS cần bảo đảm record public authoritative tồn tại; chỉ thêm record ở DNS nội bộ không đủ cho CA validation. Ngoài ra, không nên coi việc chuyển validation là thay thế cho monitoring expiration hoặc quản trị DNS change.
Đây là thay đổi nhỏ ở API nhưng lớn về độ bền vận hành. Email là điểm phụ thuộc con người, còn DNS record có thể được quản trị như mã nguồn và giữ ổn định qua thay đổi nhân sự. Hạn 31/3 và 30/9/2027 tạo cửa sổ đủ dài để audit theo từng account/Region thay vì migration khẩn cấp. Cách làm tốt nhất là đưa ACM validation CNAME vào IaC, gán owner cho từng zone và kiểm thử renewal trước khi các mốc ngừng cấp/ngừng gia hạn đến gần.
AWS, “AWS Certificate Manager supports switching from e-mail to DNS validation”, đăng ngày 13/8/2026. Liên kết nguồn ngoài không hiển thị trong bài công khai.
