はじめに

CloudFrontで外部証明書を使う要件があり、
GlobalSignのクイック認証SSLで証明書を発行し、
AWS Certificate Manager（以下ACM）にインポートしました。

クイック認証SSL
https://jp.globalsign.com/service/ssl/quickssl.html

GlobalSignの証明書はCloudFrontに対応
https://jp.globalsign.com/info/news_press/2013/07/463.html

CSR作成から証明書インポートするまでのメモを公開します。
2019年1月時点の情報となります。

証明書の発行依頼

CSR と秘密鍵のペアを作成し、証明書の発行を依頼します。

% openssl genrsa -des3 -out private.key 2048
% openssl req -new -key private.key -out cloudfront.csr
Enter pass phrase for private.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter /your/path/cloudfront.csr is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) []:JP
State or Province Name (full name) []:xxxxx
Locality Name (eg, city) []:xxxxx
Organization Name (eg, company) []:xxxxx
Organizational Unit Name (eg, section) []:xxxxx
Common Name (eg, fully qualified host name) []:*.example.com
Email Address []:postmaster@example.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:

証明書発行

クリック認証SSLに申し込みを行います。
申込時に作成したCSRが必要になります。
審査などクリアすると、発行された証明書がメールで届きます。

インポートの準備

証明書チェーンを作成し、さらにAWSにインポート可能な形式へ証明書を変換します。

domain.crtとchain.cerを pem 形式に変換します。

openssl x509 -in ./domain.crt -outform pem -out ./domain.pem
openssl x509 -in ./chain.cer -outform pem -out ./chain.pem

秘密鍵のパスフレーズを外し、pem 形式にします。

openssl rsa -in ./private.key -outform PEM -out private.key.pem
# パスフレーズの入力が必要

証明書のインポート

AWS Console でus-east-1リージョンを選択し、「AWS Certificate Manager」から「証明書のインポート」をクリックします。
PEM 形式の証明書（domain.pem）、秘密鍵（private.key.pem）、証明書チェーン（chain.pem）を入力します。
インポートします。

補足

この手順で発行する証明書はSNI対応しているものになります。
https://aws.amazon.com/jp/cloudfront/custom-ssl-domains/

CSRの作成方法は以下にまとめられていますが、２０１９年4月時点でAWS向けの手順はまとめられていません。
https://jp.globalsign.com/support/ssl/?cat=csr