问题[amazon-acm](server)

我已经使用这个配置脚本在 AWS 上安装了 nginx

--prefix=/usr/local/nginx-1.16.1 --with-http_ssl_module --with-openssl=~/Downloads/openssl-1.1.1i --without-http_rewrite_module

我已经使用 AWS Certificate Manager (ACM) 为我的 URL 颁发了证书（让它成为 mydom.com），其状态显示为已颁发然后我编辑了nginx.conf中的相关部分

server {
listen 443 ssl;
server_name localhost mydom.com;
ssl_certificate  /etc/ssl/certs/ca-bundle.crt;
ssl_certificate_key  /etc/trusted-key.key;
<truncated>
}

我选择了这些文件： 只是因为它们在 Linux 文件系统上/etc/ssl/certs/ca-bundle.crt， /etc/trusted-key.key只是为了尝试查看 nginx 是否会与它们一起运行，但它没有运行。它给出了：

[emerg] cannot load certificate key "/etc/trusted-key.key": PEM_read_bio_PrivateKey() failes (SSL: error:0909006C:PEM routines:get_name: no start line:Expecting: ANY PRIVATE KEY)

当然，这只是一次尝试。否则我想我可能应该使用.crtACM 发布的文件（如果有的话），然后我应该以某种方式创建一个.key文件并将它们放在 Linux 文件系统中的某个位置，比如在/etc/nginx/ssl? 我不确定。我应该如何进行？

注意：我有一些在自己的 Web 服务器上运行 Web 应用程序的经验，但只使用http我对https没有太多经验

我有一个由 AWS EC2 实例托管的应用程序，该实例位于具有 DNS 的负载均衡器后面，例如 example.com。我想每月将多个域指向此负载均衡器（业务入职）。我还有一个通过 AWS CMC 生成的公共证书。框图供参考 - https://imgur.com/RzQqCKy

添加新域后，我每次都需要生成一个新证书（这很公平），并且需要通过 CNAME 对所有域（旧 + 新添加）进行身份验证（这真的很烦人）。

有什么建议可以让这个简单吗？我想拥有一个根 CA，然后在其中添加新证书作为链，但这是否可行并且是一种好习惯？

更好的方法是最受欢迎的。

PS：我检查了线程 - CNAME 重定向域的 SSL 证书，但这看起来是一个不同的用例。