AWS Certificate Manager (ACM) 可以用 DNS 的方式認證了：「Easier Certificate Validation Using DNS with AWS Certificate Manager」。
不過這不同於 Let's Encrypt 在推的 dns-01，而是 AWS 自己定義的方式：
然後文章後面又再次提醒了一次，如果要用在 Amazon CloudFront，必須使用 us-east-1 的 ACM：
Note that your certificate must be in the US East (N. Virginia) Region to use the certificate with CloudFront.
這個方式讓自動化更容易做... 以前需要收信確認，雖然也是可以寫程式硬幹，但就得冒著 AWS 改版造成程式失效的風險。