使用ACME部署生成阿里云免费HTTPS证书

使用ACME部署HTTPS证书

背景

现在越来越多的服务都是基于web，大多数默认使用HTTP协议。HTTP协议是一种没有加密的协议，所有数据都通过明文传输，即便是只在内网使用也存在一定的安全风险。尤其是对于登录等操作，账号密码通过HTTP协议明文传输是非常不安全的。

而HTTPS协议使用非对称加密的方式对数据进行加密，可以让数据传输变得更加安全可靠。而将HTTP协议切换成HTTPS协议，只需要增加TSL证书即可。

本文使用ACME工具来生成TSL证书，并将TSL证书部署应用于WEB服务，从而实现支持HTTPS协议的WEB服务。

ACME

ACME是The Automatic Certificate Management Environment的缩写，详情可以参阅其 GITHUB官方链接，并且有中文说明。

ACME主要有以下几个功能

向Let’s Encrypt申请证书
支持包括阿里云在内的多个平台，通过多种接口为域名增加TXT解析
将证书部署于web服务
自动更新证书

安装ACME

只需要一行命令就可以安装ACME

$ curl https://get.acme.sh | sh

或者

$ wget -O -  https://get.acme.sh | sh

安装一共包括下面几个步骤

将acme.sh脚本复制到~/.acme.sh路径下
在当前用户的SHELL环境配置文件中增加acme.sh=~/.acme.sh/acme.sh
添加一项crontab定时任务

获取域名服务商的远程管理密钥

以阿里云为例，在用户的管理台中，找到AccessKey，安全起见可以增加一个子用户，并给该子用户添加管理云解析（DNS）的权限。

记住AccessKeyID和AccessKeySecret，并运行下面的命令添加相应环境变量

export Ali_Key="AccessKeyID"
export Ali_Secret="AccessKeySecret"

申请证书

在同一个terminal中继续输入下面的命令来生成证书，记得把example.com改成自己的域名

~/.acme.sh/acme.sh --issue --dns dns_ali -d example.com -d *.example.com

注意查看程序运行日志，正常情况可以看到新生成证书的路径。

自动部署

自动把证书部署于WEB服务。

~/.acme.sh/acme.sh --installcert -d example.com \
--key-file /path/to/keyfile \
--fullchain-file /path/to/fullchain \
--reloadcmd "/etc/init.d/uhttpd restart"

本文以OPENWET的管理页面为例，

~/.acme.sh/acme.sh --installcert -d example.com \
--keypath /etc/uhttpd.key \
--fullchainpath /etc/uhttpd.crt \
--reloadcmd "/etc/init.d/uhttpd restart"