正文

亚马逊ACM扣费怎么回事 证书自动续期收费贵不贵 怎么关闭自动续费避免意外账单

/0 浏览量
0909

哎，最近好多朋友在后台看到亚马逊 ACM（Certificate Manager，证书管理器）莫名其妙多了账单，第一反应都是：“我明明用的是免费版的托管证书啊，怎么还扣钱了？” 别急，这其实是个很典型的“免费与付费边界”混淆问题。今天咱们就把这事儿掰开揉碎了讲清楚，顺便告诉你怎么避坑。

先搞明白：ACM 到底什么情况下收费？

很多人以为 ACM 是纯免费的，这个说法半对半错。

  • 在 AWS 内部使用的托管证书（比如给 ALB、CloudFront、API Gateway 用的）：完全免费。你申请、续期、管理，一分钱不收。
  • 私有关证书（Bring Your Own Certificate, BYOC）：也不收证书管理费，但如果你把私有关证书用在需要 TLS 终结的服务上，那些服务本身（如 NLB、App Runner 等）会单独计费。
  • 真正收费的情况：其实 ACM 本身不收取证书年费。如果你看到账单里有“Certificate Manager”字样，99% 是以下两种情况之一：
    1. 你把 ACM 证书绑定到了需要额外付费的服务上（比如某些第三方网关、自建的 K8s 集群通过 ExternalDNS 等），服务方在收你的证书使用费。
    2. 你误开了某些第三方证书供应商的自动续费（比如 Let’s Encrypt 第三方插件、Digicert 等），账单显示的是 ACM 控制台界面，但钱是交给别家的。
    3. 极少数情况：你在 ACM 控制台订阅了某些高级支持套餐或自动化运维服务（AWS 偶尔会推送这类增值服务），这些是可选付费项，默认不勾选。

⚠️ 重点：AWS 官方从未对 ACM 托管证书收取年费或续期费。如果你看到扣款，请立刻查账单明细，看是 AWS 扣的，还是第三方平台扣的。

为什么我会看到“自动续费”选项？是不是陷阱？

你在 ACM 控制台确实能看到“自动续期”（Auto Renewal）开关，但这不是收费项目，而是服务便利性功能。

  • 开启后：AWS 会在证书到期前 60/30/7 天自动帮你申请新证书并替换，全程免费。
  • 关闭后：你需要手动续期，否则证书过期会导致网站 HTTPS 中断、用户报错。

这个开关绝不会产生费用。它只是帮你省心，不是帮你花钱。

那账单里到底哪来的钱？常见“意外扣费”根源

根据大量用户反馈和 AWS 账单日志分析，以下几类情况最容易让人误以为是“ACM 收费”：

1. 误用“私有证书”功能 + 第三方服务

有些用户从 Let’s Encrypt 或其他 CA 导入私有关证书到 ACM，然后用于 AWS Network Load Balancer (NLB) 或 Amazon API Gateway。NLB 本身是按请求量和实例收费的，ACM 证书只是“附件”。账单里可能把两者打包显示，让你以为 ACM 在收费。

✅ 验证方法：登录 AWS Billing Console → 查看账单明细 → 按服务分类筛选，看是不是 NLB、EC2、Data Transfer 等其他服务产生的费用。

2. 开启了 AWS 的“账单警报”但未正确解读

有些用户订阅了 AWS Cost Explorer 或 Budgets 的月度报告，报告里会列出“Certificate Manager”条目，但金额是 $0.00 或极小值（比如几分钱，可能是测试证书）。有些人误以为是扣款。

3. 被第三方插件或自动化工具“代付费”

如果你用了 Terraform、Ansible 或某些 K8s 控制器（如 cert-manager）来管理 ACM 证书，这些工具有时会调用 AWS 的某些付费 API（如 DescribeCertificates 的额外请求费用，但通常可忽略），或者更常见的是：你用的是某个 SaaS 平台（如某云管家、某监控平台），它们代你管理证书，并向你收取服务费。

✅ 验证方法：检查你的 AWS 账户是否有多个 IAM 用户或角色，看看有没有非你本人操作的 API 调用记录（通过 CloudTrail 日志）。

4. AWS 服务默认启用了“付费高级功能”

比如 AWS Shield Advanced（DDoS 防护高级版）、AWS WAF 等，这些服务在创建时可能默认勾选“启用证书管理附加功能”，从而产生费用。这些功能不是 ACM 本身，而是周边服务。

✅ 验证方法：进入 AWS Service Quotas 或 Cost Explorer，按服务维度分析，看费用来自哪个具体服务。

如何彻底关闭“自动续费”？真的能关掉吗？

先说结论：ACM 的自动续期功能可以关闭，但关闭后证书到期会自动失效，你必须手动替换，否则网站会 down 掉。

步骤：如何在控制台关闭 ACM 自动续期

  1. 登录 AWS 控制台 → 搜索并进入 Certificate Manager。
  2. 左侧菜单选择 Your certificates。
  3. 找到你想关闭自动续期的证书 → 点击证书 ID。
  4. 在详情页找到 Auto-renewal 部分 → 点击 Disable 或 Manage auto-renewal。
  5. 确认关闭。

⚠️ 重要提醒：关闭后，证书到期前 60 天你会收到邮件警告，但不会自动续费，也不会扣钱。证书过期后，HTTPS 服务将立即中断。

如何彻底避免“意外账单”？

  1. 关闭非必要的高级服务：

    • 进入 AWS Service Catalog 或 AWS Marketplace，检查是否有订阅付费插件。
    • 禁用 Shield Advanced、WAF 等如果你不需要。

  2. 设置预算警报：

    • 在 Billing Console → Budgets → 创建月度预算 → 设置阈值（比如 $10）→ 当费用超过时发邮件/短信警告。

  3. 定期检查 IAM 权限：

    • 确保只有你信任的账号能创建 ACM 证书，防止被误操作或恶意调用。

  4. 使用 Cost Explorer 分析账单：

    • 每月查看“Cost by Service”图表，确认 ACM 相关费用是否为 $0。

  5. 如果怀疑第三方扣费：

    • 检查所有关联的 AWS 账户（如 Organization 下的子账户）。
    • 查看 CloudTrail 日志，定位是哪个 IAM 用户或角色在操作。

小朋友也能听懂的比喻

想象 ACM 就像你家的“自动换灯泡服务”：

  • 免费：灯泡本身不收费，只是帮你换。
  • 自动续费：你告诉 AWS “我懒得自己换，你帮我换吧”，AWS 就自动帮你换，不收额外钱。
  • 意外账单：如果你发现账单多了钱，可能是你家的“智能灯泡”（比如带 WiFi 的灯泡）在收电费，不是换灯泡的服务在收费。

所以，别慌，先看清楚账单明细，找出真正的“收费方”。

总结

  • ACM 托管证书免费，无续期费。
  • 自动续期是免费功能，关闭它不会省钱，但可能让你证书过期。
  • 意外账单通常来自其他 AWS 服务或第三方平台，需通过账单明细定位。
  • 建议开启预算警报，定期检查 CloudTrail 日志，避免“盲扣”。

如果你现在就去账单控制台看一眼，大概率会发现 ACM 相关费用是 $0.00。剩下的钱，肯定藏在其他服务里。去揪出它吧！

-- 展开阅读全文 --