はじめに
AWS外部（今回はXserver）で管理しているドメインのサブドメインに対してACMの証明書をリクエスト。この際表題のエラーが発生。
原因
すでに他サービスで当該ドメインの証明書が発行されている。
（今回は別チームが開発中のShopifyアプリで当該サブドメインのTLS設定が既にされてあった。）
上記のサービスで証明書が発行された際、ShopifyドメインのCAAレコードも一緒に設定されてしまっており、下記AWSのCAAを許可していなかった。
- amazon.com
- amazontrust.com
- awstrust.com
- amazonaws.com
確認方法
例えば、yahoo.co.jpのCAAレコードを確認すると、下記のように4つのCAAレコードが設定してある。
この中にAWSのCAAは含まれていいないため、ACMを使って証明書（例えばtest.yahoo.co.jp）を勝手に発行することはできない。
$ dig caa yahoo.co.jp
; <<>> DiG 9.10.6 <<>> caa yahoo.co.jp
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 60261
;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;yahoo.co.jp. IN CAA
;; ANSWER SECTION:
yahoo.co.jp. 900 IN CAA 0 issue "cybertrust.ne.jp"
yahoo.co.jp. 900 IN CAA 0 iodef "mailto:nic-admin@mail.yahoo.co.jp"
yahoo.co.jp. 900 IN CAA 0 issue "digicert.com;cansignhttpexchanges=yes"
yahoo.co.jp. 900 IN CAA 0 issue "globalsign.com"
;; Query time: 21 msec
;; SERVER: 240b:251:a2a0:1e00:8222:a7ff:fe23:d5a4#53(240b:251:a2a0:1e00:8222:a7ff:fe23:d5a4)
;; WHEN: Tue Jun 07 03:40:56 JST 2022
;; MSG SIZE rcvd: 216
対応
①ドメイン管理画面からAWSのCAAレコードを追加する
外部ドメインサービスの設定でAWSのCAAレコードを設定する。（XserverはCAAレコード未対応）
②当該ドメインを諦め、CAAレコードが設定されていない別ドメインを使う
CAAレコードが設定されていないドメインであれば、ACMで新たに証明書を発行することができる。
dig caa <your-domain>コマンドで利用可能な別ドメインを探して使う。
参考