1. Добавляем A запись для домена и убеждаемся, что он работает, например

$ dig @8.8.8.8 example.com +short

2. Устанавливаем пакет python-certbot-nginx

$ sudo add-apt-repository ppa:certbot/certbot
$ sudo apt install python-certbot-nginx

3. Если сервер не имеет внешнего IP адреса, подключаем его, также нужно открыть порты 80/443 в сетевых группах безопасности.
4. Проверяем, что Nginx запущен

$ sudo systemctl status nginx

5. Создаем сертификат

$ sudo sudo certbot --nginx -d example.com

В процессе выполнения команда certbot спросит, нужен ли редирект с HTTP на HTTPS. Рекомендуется его включить.

Please choose whether or not to redirect HTTP traffic to HTTPS, removing HTTP access.
-------------------------------------------------------------------------------
1: No redirect - Make no further changes to the webserver configuration.
2: Redirect - Make all requests redirect to secure HTTPS access. Choose this for
new sites, or if you're confident your site works on HTTPS. You can undo this
change by editing your web server's configuration.
-------------------------------------------------------------------------------
Select the appropriate number [1-2] then [enter] (press 'c' to cancel):

По завершению вы увидете сообщение об успешном создании сертификата.

...
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/example.com/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/example.com/privkey.pem
...