acme 申请 Let’s Encrypt 泛域名 SSL 证书

> 本文由 [简悦 SimpRead](http://ksria.com/simpread/) 转码， 原文地址 [phenix3443.github.io](https://phenix3443.github.io/notebook/ali/acme-get-ssl-ca.html)

UP | [HOME](https://phenix3443.github.io/)

acme 申请 Let’s Encrypt 泛域名 SSL 证书
================================

Table of Contents
-----------------

*   [1. 概述](#org6ff67d8)
*   [2. 安装](#orgbbfaacc)
*   [3. 申请证书](#org5568576)
*   [4. 安装证书](#org5eca405)

1 概述
----

[《certbot 申请 Let's Encrypt 泛域名证书》](certbot-get-ssl-ca.html) 一文中介绍了使用 Let's Encrypte 官方客户端申请泛域名证书的方法，但是申请和续期过程需要手动介入，现在介绍一种更加自动化的方法。

[acme.sh](https://github.com/Neilpang/acme.sh) 是一个实现了 acme 协议的脚本，可以从 Let's Encrypt 生成免费的 SSL 证书。

以下所有步骤参照了 [acme.sh 官方 wiki](https://github.com/Neilpang/acme.sh/wiki/%E8%AF%B4%E6%98%8E)，由于脚本更新频繁，将来以下步骤可能不适合，请大家直接参考 wiki。

2 安装
----

```
curl https://get.acme.sh | sh

```

将程序安装在 `~/.acme.sh/` 下。

以后更新 acme 程序：

```
acme.sh --upgrade

```

3 申请证书
------

添加 dns api 相关 key 和秘钥。

```
export Ali_Key="ali-key"
export Ali_Secret="ali-secret"

```

会将秘钥信息保存在： `~/.acme.sh/account.conf` 中，方便下面申请证书和以后证书续期使用。

申请证书：

```
acme.sh --issue --dns dns_ali -d panghuli.cn -d *.panghuli.cn

```

该命令会将申请的证书放在 `~/.acme.sh/panghuli.cn/` 下。

该命令会添加定时任务，自动检测证书是否过期，并且续期。

```
crontab -l
50 0 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null

```

列出已经申请的证书信息：

```
./acme.sh --list

```

4 安装证书
------

前面证书生成以后，接下来需要把证书 copy 到真正需要用它的地方.

注意，默认生成的证书都放在安装目录下: ~/.acme.sh/, 请不要直接使用此目录下的文件，例如：不要直接让 nginx/apache 的配置文件使用这下面的文件。这里面的文件都是内部使用，而且目录结构可能会变化.

正确的使用方法是使用 –installcert 命令，并指定目标位置，然后证书文件会被 copy 到相应的位置， 例如:

```
acme.sh --installcert  -d  panghuli.cn  -d *.panghuli.cn \
        --ca-file /root/ssl/ca.cer \
        --cert-file /root/ssl/panghuli.cn.cer \
        --key-file   /root/ssl/panghuli.cn.key \
        --fullchain-file /root/ssl/fullchain.cer \
        --reloadcmd  "service nginx force-reload"

```

注意：如果是阿里云 ECS ，需要先使用 `service nginx start` 启动 nginx.service , 否则上面的命令会报错 “nginx.service is not active, cannot reload.”

Author: liushangliang

Email: [phenix3443+github@gmail.com](mailto:phenix3443+github@gmail.com)

Created: 2020-07-15 三 10:27