Let‘s Encrypt免费SSL通配证书的申请与续期

原创

极客开发者 2021-11-18 17:27:23 博主文章分类：开发工具 ©著作权

文章标签 ssl https 域名服务 html apache 文章分类 代码人生

©著作权归作者所有：来自51CTO博客作者极客开发者的原创作品，请联系作者获取转载授权，否则将追究法律责任

Let’s Encrypt 是免费、开放和自动化的证书颁发机构。目前有很多网站使用Let’s Encrypt证书做https加密。我也一直在用，不过以前都是用的单域名证书，新建网站就需要重新申请，比较麻烦。但现在已经可以申请Let’s Encrypt通配证书了。

实际上，申请 Let’s Encrypt 生成证书的工具不止一种，我用过 cerbot 和 acme.sh。以前用 cerbot 申请的时候不得不停掉 80 端口的服务，感觉不太友好。后来用 acme.sh 简单一点，本文将介绍如何使用 acme.sh 来独立申请域名通配证书。

acme.sh 项目地址为https://github.com/acmesh-official/acme.sh，本文参考官方文档

一、安装

1.安装socat和curl，以下以debian/ubuntu和alpine为例，其他Linux发行版自行搜索软件包

apt install socat curl  # debian/ubuntu 环境
apk add socat curl      # alpine 环境

2.安装 acmese.sh
```
curl  https://get.acme.sh | sh
```
安装完成之后会在当前目录下生成 .acme.sh 目录

二、生成证书

1.配置域名服务商的AccessKey

申请域名证书可以手动添加域名解析验证。但使用域名服务商提供的 API 自动添加txt解析的方式来完成验证，会更方便后续实现自动化的ssl证书续订。

根据不同类型的域名服务商，我们选择对应的DNS API ：https://github.com/acmesh-official/acme.sh/wiki/dnsapi

首先我们需要获取域名服务商提供的AccessKey，这是用来作为调用API的凭证。因为我的域名是在阿里云买的，这里以阿里云作为示例，可以点击这个链接申请阿里云的Accesskey：https://usercenter.console.aliyun.com/#/manage/ak

你可以使用全局的AccessKey，也可以使用子账号的AccessKey。因为全局AccessKey具有的阿里云账号的所有权限，更建议使用子账号。这里我使用子账号的AccessKey（但注意，子账号必须设置好dns相关权限），生成AccessKey ID 和 AccessKey Secret 如下图：
Let‘s Encrypt免费SSL通配证书的申请与续期_域名服务

获取AccessKey ID和Access Scret后将它们加入到系统环境变量中

export Ali_Key="LTAI4GCqsh91TURz3hzNkapp"
export Ali_Secret="hyddKq5Dm9OBfpCftGRP9Uo3vcFRaa"

2.生成证书

配置好之后，使用以下命令生成证书

.acme.sh/acme.sh --issue --dns dns_ali -d jkdev.cn -d *.jkdev.cn

这里生成两个证书，一个是 jkdev.cn 的，另一个使用 * 来代替，即可生成子域名的通配证书。生成证书过程中，会调用服务商API自动添加一条 txt 的域名解析验证，验证通过后会自动删除解析，这个过程对我们来说是无感知的。

注意：如果你没有使用的阿里云的域名，使用上面的命令是不管用的，请参考二（1）中的 DNS API说明链接。

证书的有效期为90，80天之后续期，续期命令如下

.acme.sh/acme.sh --renew -d jkdev.cn -d *.jkdev.cn

当然了，你可以做成系统任务，自动化续期，这里不再说明

三、部署https网站

生成的证书可以用于Apache/Nginx等服务器，我用的是Apache，此处共享一下我的配置参数

<VirtualHost _default_:443>
	DocumentRoot "/var/www/html/www"
	ServerName www.jkdev.cn
	SSLEngine on
	SSLCertificateFile /etc/letsencrypt/live/ssl/test.phy/*.jkdev.cn.cer
   	SSLCertificateKeyFile /etc/letsencrypt/live/ssl/test.phy/*.jkdev.cn.key
    	SSLCertificateChainFile /etc/letsencrypt/live/ssl/test.phy/fullchain.cer
	<Directory "/var/www/html/www">
		Options Indexes FollowSymLinks
		AllowOverride All
		Require all granted
		ErrorDocument 404 https://www.jkdev.cn/404.html
	</Directory>
</VirtualHost>

有任何疑问，欢迎给博主留言！