背景
AWS 中国区（cn-north-1 / cn-northwest-1）的 CloudFront 不支持 ACM（AWS Certificate Manager）托管证书。如果你需要为 CloudFront 分配自定义域名并启用 HTTPS，只能通过 IAM 上传第三方 SSL 证书来实现。
这与 AWS 全球区不同——全球区可以直接在 ACM 中申请免费证书并关联到 CloudFront，而中国区必须手动管理证书的申请、上传和续期。
本文记录从阿里云下载 SSL 证书并上传到 AWS 中国区 IAM 的完整流程。
前置条件
- 已安装并配置 阿里云 CLI（aliyun）
- 已安装并配置 AWS CLI，且有中国区的 profile
- 已在阿里云申请并签发了 SSL 证书
- 本地安装了 Python 3 和 OpenSSL（用于证书处理和验证）
- 自定义域名已完成 ICP 备案（中国区 CloudFront 绑定自定义域名的强制要求）
