服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- 这是 2026 年 10 月 6 日宣布的 ACM ACME 私网签发能力；签发的是公开信任的 TLS 证书，不是 ACM Private CA 证书。
- 管理端点 com.amazonaws.region.acm-acme 与签发端点 com.amazonaws.region.acm-acme-enroll 分工不同，彼此独立，各自需要端点和端点策略。
- 签发端点须与 ACME 端点处于同一 Region；还要核对可用区支持、来自私有子网的 TCP 443 和 Private DNS。
- ACM 按证书域名、签发或续期及 API 用量计费；PrivateLink 另按每个可用区的已配置端点小时数和处理数据量计费，本文不报通用区域价格。
这条私网路径能做什么
AWS 在 2026 年 10 月 6 日宣布 ACM 支持通过 AWS PrivateLink 使用 ACME 签发公开 TLS 证书。它让 VPC 内的 ACME 客户端经 AWS 网络访问 ACM，不需要为了这条客户端到 ACM 的私网连接配置互联网网关、NAT、VPN 或 AWS Direct Connect。
PrivateLink 改变的是到 ACM 的网络路径，不会把公开证书变成私有 CA 证书，也不代表工作负载的所有依赖或目标服务都已脱离公网。下文按端点、网络、授权、证书责任和费用拆开说明。
按职责选择 ACM ACME 服务端点
com.amazonaws.region.acm-acme 用于 PKI 管理员的 ACM ACME 管理操作，例如创建 ACME 端点、域名验证和外部账户绑定（EAB）。com.amazonaws.region.acm-acme-enroll 提供 ACME 协议本身，供 ACME 客户端申请和撤销证书。
两个端点服务相互独立：管理端点不会替客户端提供签发协议，签发端点也不会提供管理操作。每种服务都要使用自己的 VPC 接口端点和端点策略；先按哪一侧需要从 VPC 访问 ACM 来决定要部署哪一个。
核对 Region、可用区和 DNS 前提
ACM 的 ACME 签发端点必须位于已配置 ACME 端点的同一 Region；通用 PrivateLink 的跨 Region 能力不会覆盖这一限制。原公告面向 AWS 商业 Region，具体可用区支持仍应在创建端点前到管理控制台核对。
签发端点要允许来自 VPC 私有子网的入站 TCP 443，并启用 Private DNS 主机名。使用 Amazon 提供的 DNS 和 Route 53 时，客户端原有 ACME directory URL 可在 VPC 内解析到接口端点，通常无需更换 URL 或客户端配置；自建 DNS 则需要条件转发。
把端点策略与 IAM 身份策略分开
网络连通之前，PKI 管理员还须创建 ACME 端点、预先批准域名并配置所需 CNAME 记录，再向应用团队提供 EAB 凭证。ACM ACME 只为管理员已验证的域名签发证书；私网连接不会替代域名所有权验证，也不会自动赋予签发权限。
EAB 凭证关联的 IAM 角色参与请求授权。端点策略需要覆盖 ACME 端点资源上的账户注册、订单、授权和下载操作，也要覆盖证书资源上的 finalize 与撤销操作；只放行其中一种资源会让完整签发流程缺少权限。
端点策略不能识别实际调用者，因此它不能替代 IAM 身份策略。请求必须同时通过端点策略和 EAB 所关联角色的 IAM 策略；用角色身份策略限制哪些主体可以签发或撤销证书，并对照官方文档核对完整流程所需的资源范围。
确认密钥、续期与集成边界
ACM ACME 证书是公开信任的 TLS 证书，私钥由 ACME 客户端生成并保存在客户端一侧；ACM 不接触该私钥。证书有效期为 45 天，续期由 ACME 客户端在到期前发起，ACM 托管续期不适用，因此应用团队还要负责客户端可用性、密钥保管和轮换。
这类证书会出现在 ACM 证书清单中并有标准 ARN，但不能绑定到 Elastic Load Balancing、CloudFront 或 API Gateway 等 ACM 集成服务。ACM 的 ExportCertificate API 也不支持这类证书；如果需要由 ACM 管理私钥、续期或 AWS 集成服务绑定，应改用相应的 ACM 证书流程。
拆开估算 ACM 与 PrivateLink 费用
ACM ACME 费用按域名在签发和每次续期时产生，并按账户当月的域名签发量适用价格阶梯；ACM API 调用还有单独的账户月度计费规则。不要把一次签发视为证书整个生命周期唯一的 ACM 费用。
PrivateLink 另按每个可用区中已配置的 VPC 接口端点小时计费，不足一小时按一小时计；通过端点处理的数据还按 GB 计费，与流量来源或目的地无关。例如，一个签发接口端点覆盖两个可用区时，应分别计入两个可用区的端点小时；若同时部署管理端点，再单独计入其费用。
估算时分别列出端点小时、处理 GB、证书域名签发与续期次数以及 API 用量，再套用目标 Region 的当前费率和账户月度阶梯。本文不提供区域通用小时单价或账户总价；可用区数量、保留端点的时间和续期频率都会改变结果。
资料来源
常见问题
ACME 客户端签发证书时，管理端点和签发端点都要建吗？
客户端使用签发服务 com.amazonaws.region.acm-acme-enroll。管理服务 com.amazonaws.region.acm-acme 面向配置 ACME 端点、域名验证和 EAB 的管理员；只有需要在该 VPC 中私网执行这些管理操作时才部署它。两者互不替代。
启用 Private DNS 后，ACME 客户端需要换 directory URL 吗？
通常不需要。启用端点 Private DNS 后，现有 directory URL 可在 VPC 内解析到接口端点。自建 DNS 需要条件转发；这项设置只说明到 ACM 的解析和连接路径，不代表其他依赖也都可离线访问。
只看 PrivateLink 端点小时数就能估出总费用吗？
不能。还要计入端点处理的数据量，以及 ACM 按域名签发、每次续期和 API 用量产生的费用。PrivateLink 价格取决于 Region 和使用量，当前应核对目标 Region 的价格表。