利用acme.sh 申请 Google 免费证书

1.Google API权限准备

获取 EAB 密钥 ID 和 HMAC

  1. 登录你的 GCP 控制台面板,进入 Public Certificate Authority API 管理页面(console.cloud.google.com/apis/librar...)点击启动

或者直接在下一步的 Cloud Shell 中使用下面的命令启动也可以:

bash 复制代码
gcloud services enable publicca.googleapis.com
  1. 点击右上角的菜单栏激活 Cloud Shell,输入下面内容选中项目,如果你只有一个项目的话可以跳过这步,会自动设置为唯一项目:

    gcloud config set project [project ID]

或者先使用下面的命令创建一个项目然后再选择该项目:

arduino 复制代码
gcloud projects create [project ID]
gcloud config set project [project ID]
  1. 获取 EAB 密钥 ID 和 HMAC:

    gcloud publicca external-account-keys create

中途弹窗点击授权之后会返回下列格式的信息,记录下来后面会用到:

makefile 复制代码
Created an external account key
[b64MacKey: xxxxxxxxxxxxxxxxxxxxxxx
keyId: xxxxxxxxxxxxxxx]

* 获取的 EAB 密钥 7 天内有效,超过 7 天未使用该密钥会失效,注册的 ACME 帐号没有有效期。

2.申请证书

默认以 root 用户进行操作演示。

安装 acme.sh

arduino 复制代码
curl  https://get.acme.sh | sh

若后面出现 command not found,则需要手动执行以下命令:

bash 复制代码
source ~/.bashrc

签发证书

这里以使用 Cloudflare 的 API 为例,通过 DNS 验证申请 Apex 域名和通配符(example.com 和 *.example.com)证书。

  1. 获取 Cloudflare API,可以自己选择全局 API 还是单域 API,建议创建单域 API 并限制访问 IP 以提高安全性,获取到 API 后注意保存,然后导入:

    export CF_Token="xxxxxxxxxxxxxxxxxxxxxxxx" export CF_Account_ID="xxxxxxxxxxxxxxxxxxxxxxxx" export CF_Zone_ID="xxxxxxxxxxxxxxxxxxxxxxxx"

其中 CF_Token 为你获取到的 API 密钥,CF_Account_IDCF_Zone_ID 可以在你域名概述页面侧边栏的 API 分栏看到。

  1. 向 Google Public CA 注册 ACME 帐号:

    acme.sh --register-account -m [邮箱] --server google

    --eab-kid [申请到的 keyId]

    --eab-hmac-key [申请到的 b64MacKey]

我在第一次注册的时候提示错误:

arduino 复制代码
Please refer to https://curl.haxx.se/libcurl/c/libcurl-errors.html for error code: 6

无法解析 host,想了下应该是我的 acme.sh 是很久以前安装的,没有开启自动更新,使用 acme.sh --upgrade 命令更新一下就好了,或者将上面的 --server google 改成 --server https://dv.acme-v02.api.pki.goog/directory 手动指定服务器。

  1. 设置默认 CA:

    acme.sh --set-default-ca --server google

  2. 签发 RSA 证书:

    acme.sh --issue --dns dns_cf -d example.com -d *.example.com --keylength 2048

* 签发 ECC 证书:

css 复制代码
acme.sh --issue --dns dns_cf -d example.com -d *.example.com --keylength ec-256
  1. 最后将证书安装到 Nginx 下:

    acme.sh --install-cert -d example.com

    --key-file /path/to/ssl/private.key

    --fullchain-file /path/to/ssl/fullchain.pem

    --capath /path/to/ssl/ca.pem

    --reloadcmd "service nginx reload"

* 安装 ECC 证书:

css 复制代码
acme.sh --install-cert -d example.com --ecc \
--key-file       /path/to/ssl/ecc_private.key  \
--fullchain-file /path/to/ssl/ecc_fullchain.pem \
--capath         /path/to/ssl/ecc_ca.pem  \
--reloadcmd      "service nginx reload"
相关推荐
八股文领域大手子15 分钟前
深入浅出 Redis:核心数据结构解析与应用场景Redis 数据结构
java·数据结构·数据库·人工智能·spring boot·redis·后端
Code哈哈笑3 小时前
Idea连接远程云服务器上的MySQL,开放云服务器端口
服务器·后端·mysql·spring
奇谱10 小时前
Quipus,LightRag的Go版本的实现
开发语言·后端·语言模型·golang·知识图谱
Asthenia041210 小时前
ThreadLocal:介绍、与HashMap的对比及深入剖析
后端
Asthenia041210 小时前
# 红黑树与二叉搜索树的区别及查找效率分析
后端
洛神灬殇10 小时前
【Redis技术进阶之路】「原理分析系列开篇」分析客户端和服务端网络诵信交互实现(服务端执行命令请求的过程 - 文件事件处理部分)
redis·后端
左灯右行的爱情10 小时前
深入学习ReentrantLock
java·后端·juc
gongzairen11 小时前
Ngrok 内网穿透实现Django+Vue部署
后端·python·django
冒泡的肥皂11 小时前
JAVA-WEB系统问题排查闲扯
java·spring boot·后端