要为 AWS CloudFront 子域名和通配符使用证书，您可以按照以下步骤进行操作：

1. 创建 ACM (Amazon Certificate Manager) 证书：

   • 登录到 AWS 管理控制台并打开 ACM 服务。
   • 单击 "创建证书"。
   • 选择 "在美国东部（弗吉尼亚北部）" 或 "在美国东部（俄亥俄州）" 中的一个区域。
   • 输入您要为的域名（例如，*.example.com）。
   • 单击 "验证域名" 并选择合适的验证方法（例如，电子邮件验证或 DNS 记录验证）。
   • 完成域名验证后，单击 "查看证书"。

2. 配置 CloudFront 子域名和通配符证书：

   • 在 AWS 管理控制台中打开 CloudFront 服务。
   • 单击 "创建分配" 或选择现有的分配。
   • 在 "设置分配" 页面的 "SSL 证书" 部分，单击 "编辑"。
   • 在 "选择或上传证书" 下拉菜单中，选择之前创建的证书。
   • 单击 "是" 以启用 "自定义域名"。
   • 在 "自定义域名" 输入框中，输入您的子域名（例如，sub.example.com）。
   • 单击 "保存更改"。

3. 配置 DNS 来解析子域名：

   • 登录到您的 DNS 服务提供商的控制台。
   • 创建一个新的 CNAME 记录，将子域名指向 CloudFront 分配的域名（查看 CloudFront 分配的域名可在 CloudFront 控制台的 "分配概览" 页面找到）。

现在，您的 CloudFront 子域名和通配符证书已配置完成，并且将通过 CloudFront 分配的域名进行解析。您可以使用代码示例来验证和测试该设置。

以下是一个使用 Python 和 Boto3（AWS 的官方 Python SDK）的示例代码，用于列出 CloudFront 分配的子域名和证书：

import boto3

def list_cloudfront_distributions():
    client = boto3.client('cloudfront')
    distributions = client.list_distributions()
    for distribution in distributions['DistributionList']['Items']:
        print("Domain Name: " + distribution['DomainName'])
        print("Certificate ARN: " + distribution['ViewerCertificate']['Certificate'])
        print("")

list_cloudfront_distributions()

这段代码将列出您账户中所有 CloudFront 分配的子域名和对应的证书 ARN。

请注意，您需要安装并配置 Boto3 并具有适当的 AWS 身份验证凭据才能运行此代码。