CNAME 重定向域的 SSL 证书

Question

我有一个网络服务，它提供带有付款页面的简单站点构造函数功能。

用户可以选择购买域名，例如user.com，选择一些模板并将这个带有 CNAME 的域名指向我的网络服务，例如site.constructor.com。

并且有很多这样的用户站点，它们都指向site.constructor.com。

Web 服务站点包含通配符证书 *.constructor.com，托管在 AWS 上，SSL 证书应用于负载均衡器 HTTPS 处理程序。

现在，当任何人导航https://user.com 时，他都会从sites.constructor.com获取适当的内容，但在此之前，他收到警告窗口，该user.com不包含正确的证书（因为主机证书已被使用）。

现在我需要确保https://user.com安全，但无法理解如何做到这一点。

我没有任何负载均衡器配置或此域的 web 服务配置。唯一的入口是带有用户域名的CNAME和DB记录。所以我什至不能简单地为用户域购买新证书并应用它。

保护 CNAME 域的最佳方法是什么？

UPD.1。用户域访问流程

1. Navigate _https://user.com_
    there is only domain control panel with CNAME which points to the _site.constructor.com_
2. call to the AWS load balancer of _site.constructor.com_ with applied SSL (SSL is NOT for _user.com_)
3. access to the EC2, etc...

user.com证书应该在哪里申请？在这种情况下，可以为user.com使用自行生成的证书吗？

Answer 1

存在CNAME记录而不是直接地址记录 ( A/ AAAA) 不是一个因素。证书验证基于位置 URL 中的主机名。

要导航到https://example.com/工作，您需要一个对example.com. 即，证书，要么具有example.com作为主题CN（通用名），或具有example.com在其SAN（主题备用名称）列表。