自动化部署证书 acme.sh 详细实践使用教程

前言

博主之前一直是使用手动的方式去申请和续签Let's Encrypt泛域名SSL证书.最近为了更方便的自动化部署,详细研究使用了acme.sh这个项目,并成功自动申请了多个域名证书.同时该项目还能够自动续签证书,自动安装证书,支持广泛的环境和场景的部署,功能非常强大.

acme.sh 是一款方便,强大的 Let's Encrypt 域名证书申请续签程序.支持一键脚本和 docker 部署.支持 http 和 DNS 两种域名验证方式,其中包括手动,自动 DNS 及 DNS alias 模式方便各种环境和需求.可同时申请合并多张单域名,泛域名证书,并自动续签证书和部署到项目.

acmesh-official/acme.sh

部署简介

域名证书的申请其实非常简单,只需证明域名的所有权,证书颁发机构即可为你颁发免费的证书文件.整个流程用户最繁琐的步骤就是验证域名的所有权,一般可分为http和DNS两种.http方式是将随机生成的验证文件放入网站的根目录,由机构扫描验证.而DNS方式则是将随机生成的验证码创建域名的TXT记录由机构扫描验证.验证通过即可颁发证书.

acme.sh 可以帮用户简化所有权验证的步骤.根据用户提供的Web 路径或者域名 DNS 的API,来自动为用户创建验证文件或验证 TXT 记录.并将颁发的证书部署到指定的环境,同时支持到期续签以保持域名有效期.

整个部署流程非常简单,具体为以下三个步骤:

• 准备 DNS API
• 安装 acme.sh
• 执行申请部署命令

本文以最常规的 DNS API 验证模式并自动部署到 nginx 环境为例,其他方式请参考官方Wiki.

准备 DNS API

通过使用域名服务商提供的 API 密钥,让acme.sh自动创建域名验证记录以申请域名证书. acme.sh 支持全球各种域名服务商的 API ,本文将以阿里云,腾讯云,Cloudflare为例.更多 DNS API 支持,请查看:官方dnsapi

阿里云

推荐使用子账户,并赋予子账户 DNS 权限,以确保安全性.

登陆阿里云控制台 - 访问控制 RAM - 用户管理 新建用户并勾选为该用户自动生成AccessKey

授权该用户,搜索DNS,并将AliyunDNSFullAccess移动至右侧确定.

根据官方dnsapi获取阿里云的API格式为:

export Ali_Key="LTAI4Fd8J9qs4fxxxxxxxxxx"
export Ali_Secret="Xp3Z7NDOW0CJcPLKoUwqxxxxxxxxxx"

腾讯云

腾讯云的域名由dnspod.cn管理,登陆管理控制台,右上角选择密钥管理,创建密钥并复制保存好生成的ID和Token.

根据官方dnsapi获取DNSPod.cn的API格式为:

export DP_Id="124xxx"
export DP_Key="54ddaa41245837600ce713xxxxxxxxxx"

wget -O -  https://get.acme.sh | sh 

cd ~/.acme.sh
vi account.conf 

acme.sh --issue --server letsencrypt --dns dns_dp -d example.com -d www.example.com

acme.sh --issue --server letsencrypt --dns dns_dp -d ioiox.com -d *.ioiox.com

acme.sh --issue --server letsencrypt --dns dns_dp -d aaa.com -d *.aaa.com -d bbb.com -d *.bbb.com -d ccc.com -d *.ccc.com

同一个 DNS 服务商通过 API 签发证书，只能保存一个域名的 Token 信息。而解决方法有三种，推荐前两种：

1. 使用不同的 Linux 用户进行证书申请。
2. 签发时指定 home 文件路径，通过添加 --config-home 参数实现：

mkdir /root/.acme2
acme.sh --config-home /root/.acme2 --issue --dns dns_cf -d domain.tld

此时你的 crontab 自动任务也要做出对应的修改，新增一个任务，并且时间最好和默认的 acme.sh 任务错开：

# 默认任务
20 0 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null
# 新增任务
40 0 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" --config-home "/root/.acme2" > /dev/null

3. 签发证书时指定配置文件，通过添加 --accountconf 参数实现：

acme.sh --issue --dns dns_cf -d domain.tld --accountconf /root/.acme.sh/account-custom.conf

同样，crontab 自动任务也要做出对应的修改。

acme.sh --installcert -d example.com \
--key-file       /path/to/keyfile/in/nginx/key.pem  \
--fullchain-file /path/to/fullchain/nginx/cert.pem \
--reloadcmd     "service nginx force-reload"

acme.sh --installcert -d ioiox.com \
--key-file /usr/local/nginx/conf/ssl/ioiox.com.key \
--fullchain-file /usr/local/nginx/conf/ssl/ioiox.com.cer \
--reloadcmd     "nginx -s reload"

docker run --rm -it \
  -v ~/acme.sh:/acme.sh \
  neilpang/acme.sh --issue --server letsencrypt --dns dns_dp \
  -d aaa.com \
  -d *.aaa.com \
  -d bbb.com \
  -d *.bbb.com \
  -d ccc.com \
  -d *.ccc.com

docker run -itd  \
  -v ~/acme.sh:/acme.sh  \
  --net=host \
  --name=acme.sh \
  --restart=always \
  neilpang/acme.sh daemon

docker exec acme.sh --issue --server letsencrypt --dns dns_dp \
  -d aaa.com \
  -d *.aaa.com \
  -d bbb.com \
  -d *.bbb.com \
  -d ccc.com \
  -d *.ccc.com