操作指南产品文档

Size: px

Start display at page:

Download "操作指南产品文档"

龙陶
7 years ago
Views:

1 SSL证书操作指南产品文档

2 版权声明腾讯云版权所有本文档著作权归腾讯云单独所有未经腾讯云事先书面许可任何主体不得以任何形式复制修改抄袭传播全部或部分本文档内容商标声明及其它腾讯云服务相关的商标均为腾讯云计算北京有限责任公司及其关联公司所有本文档涉及的第三方主体的商标依法由权利人所有服务声明本文档意在向客户介绍腾讯云全部或部分产品服务的当时的整体概况部分产品服务的内容可能有所调整您所购买的腾讯云产品服务的种类服务标准等应由您与腾讯云之间的商业合同约定除非双方另有约定否则腾讯云对本文档内容不做任何明示或模式的承诺或保证第2页

3 文档目录文档声明... 2 域名型证书申请流程... 4 域名验证指引... 8 域名身份如何自动验证部署证书到负载均衡指引私钥密码指引证书安装指引域名型证书吊销指引苹果ATS特性服务器配置指南第3页

4 域名型证书申请流程申请域名型 DV SSL证书 1. 申请入口进入SSL证书管理控制台点击申请证书查看申请域名型证书型号点击确定第4页

5 2. 填写申请填写申请域名注意不支持一级域名申请例如qcloud.com 请填写例如 demo.test.q lcoud.com形式二级三级等域名第5页

6 3.1 手动DNS验证方式证书默认支持收到DNS验证验证方法可查看详情 3.2 选择自动DNS验证方式如果所申请域名成功添加云解析平台可以支持自动DNS验证验证方法可查看详情 4.1 提交申请后验证身份提交申请成功后弹窗提示如下需要前往证书详情页获取CName记录添加解析第6页

7 获取CName记录如Tips中显示需要尽快成功添加解析方可通过CA机构审核 4.2 提交申请失败如遇到下图所示弹窗是提交域名未通过CA机构安全审核具体原因参考安全审核失败原因第7页

8 域名验证指引申请域名型证书可以通过以下方式验证域名的所有权 1. 手动DNS验证通过解析指定的DNS记录验证您的域名所有权指定的解析格式如下主机记录 > CName记录类型 > 记录值例如为申请证书的域名添加一条记录类型为CNAME的DNS记录 sr5jtl1xxxxxxxmygdps.domain.com > CNAME > s2015xxxxxxxx.domain.com 以云解析平台为例说明如何进行操作 1.1 添加域名点击添加域名输入您要解析域名的主域名domain.com 并点确定 1.2 添加解析记录第8页

9 点击刚添加的域名解析点击添加记录 1.3 完成指定的CNAME记录添加第9页

10 CNAME记录即将域名指向另一个域名再由另一个域名提供ip地址记录类型选择为CNAME 主机记录处填子域名比如需要添加sr5jtl1xxxxxxxmygdps.domain.com的解析只需要在主机记录处填写sr5jtl1xxxxxxxmygdps即可不需要填写主域名domain.com 线路类型选择默认记录值为 CNAME指向的域名只可以填写域名此处为s2015xxxxxxxx.domain.com 注意记录值须完整填写 TTL选择默认值10分钟即可解析添加成功后如下 sr5jtl1xxxxxxxmygdps.domain.com 的指向系统会定时检查若能检测到并且与指定的值匹配即可完成域名所有权验证 2. 自动DNS验证注仅限使用云解析的域名第10页

11 如果申请证书的域名已经在云解析平台进行解析可以选择自动验证系统为将为该域名自动添加指定的DNS解析记录记录被检测匹配成功完成域名所有权验证后该记录将自动清除第11页

12 域名身份如何自动验证 1. 自动DNS验证原理提交证书申请后 CA机构会指定添加一条CNAME解析记录来验证域名的所有权如果该域名在腾讯云云解析平台进行解析则可以立即自动添加指定的CNAME解析记录等待CA机构的定时扫描审核以最快最便捷的方式完成证书申请 2. 云解析添加域名如果您的域名不在云解析平台进行解析可以参考如下流程将域名加入云解析添加域名到云解析 3. 修改DNS服务器切记完成添加域名后需要修改域名的DNS服务器为腾讯云指定的DNS地址解析方可生效参考修改域名DNS指引第12页

13 部署证书到负载均衡指引 SSL证书支持部署到负载均衡步骤如下所示 1. 选择证书首先成功申请获取证书参考如何免费申请域名型证书或者选择上传的证书展开更多操作选择部署到负载均衡 2. 选择LB实例根据项目和地区筛选LB实例目前不支持华南地区-深圳金融且只能选择一个实例第13页

14 3. 创建监听器跳转到负载均衡控制台打开创建监听器弹窗并且监听协议端口已切换到Https 服务器证书为已选中的证书然后完成剩余的基本配置第14页

15 4. 继续完成配置继续完成创建监听器的其他配置即可实现负载均衡的Https 第15页

16 私钥密码指引私钥密码是申请证书时的选填项如图所示注意事项 1 如果填写了私钥密码请您牢记该密码该密码不支持找回和修改 2 该密码在证书下载完成进行解压时需要输入 3 在您的服务器上进行证书导入导出安装等操作时可能会需要输入 4 如果私钥密码不慎遗忘请工单联系客服删除该证书然后重新申请该域名证书第16页

17 证书安装指引下载得到的文件解压获得3个文件夹分别是Apache IIS Nginx 服务器的证书文件下面提供了3类服务器证书安装方法的示例 1. Apache 2.x证书部署 1.1 获取证书 Apache文件夹内获得证书文件 1_root_bundle.crt 2_www.domain.com_cert.crt 和私钥文件 3_www.domain.com.key, 1_root_bundle.crt 文件包括一段证书代码 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE-----, 2_www.domain.com_cert.crt 文件包括一段证书代码 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE-----, 3_www.domain.com.key 文件包括一段私钥代码 -----BEGIN RSA PRIVATE KEY----- 和 -----END RSA PRIVATE KEY 证书安装编辑Apache根目录下 conf/httpd.conf 文件找到 #LoadModule ssl_module modules/mod_ssl.so 和 #Include conf/extra/httpdssl.conf 去掉前面的#号注释编辑Apache根目录下 conf/extra/httpd-ssl.conf 文件修改如下内容 <VirtualHost DocumentRoot "/var/www/html" ServerName SSLEngine on SSLCertificateFile /usr/local/apache/conf/2_www.domain.com_cert.crt SSLCertificateKeyFile /usr/local/apache/conf/3_www.domain.com.key SSLCertificateChainFile /usr/local/apache/conf/1_root_bundle.crt </VirtualHost> 第17页

18 配置完成后重新启动 Apache 就可以使用注配置文件参数说明 SSLEngine on 启用SSL功能 SSLCertificateFile 证书文件 SSLCertificateKeyFile 私钥文件 SSLCertificateChainFile 证书链文件 2. Nginx证书部署 2.1 获取证书 Nginx文件夹内获得SSL证书文件 1_www.domain.com_bundle.crt 和私钥文件 2_www.domain.com.key, 1_www.domain.com_bundle.crt 文件包括两段证书代码 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE-----, 2_www.domain.com.key 文件包括一段私钥代码 -----BEGIN RSA PRIVATE KEY----- 和 -----END RSA PRIVATE KEY 证书安装将域名的证书文件1_www.domain.com_bundle.crt 私钥文件2_www.domain.com.key保存到同一个目录例如/usr/local/nginx/conf目录下更新Nginx根目录下 conf/nginx.conf 文件如下 server { listen 443; server_name #填写绑定证书的域名 ssl on; ssl_certificate 1_www.domain.com_bundle.crt; ssl_certificate_key 2_www.domain.com.key; ssl_session_timeout 5m; ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #按照这个协议配置 ssl_ciphers 第18页

19 ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;#按照这个套件配置 ssl_prefer_server_ciphers on; location / { root html; #站点目录 index index.html index.htm; } } 配置完成后先用bin/nginx t来测试下配置是否有误正确无误的话重启nginx 就可以使来访问了注配置文件参数说明 listen 443 SSL访问端口号为443 ssl on 启用SSL功能 ssl_certificate 证书文件 ssl_certificate_key 私钥文件 ssl_protocols 使用的协议 ssl_ciphers 配置加密套件写法遵循openssl标准 2.3 使用全站加密 http自动跳转https 可选对于用户不知道网站可以进行https访问的情况下让服务器自动把http的请求重定向到https 在服务器这边的话配置的话可以在页面里加js脚本也可以在后端程序里写重定向当然也可以在web服务器来实现跳转 Nginx是支持rewrite的只要在编译的时候没有去掉pcre 在http的server里增加rewrite ^(.*) permanent; 这样就可以实现80进来的请求重定向为https了 3. IIS 证书部署 3.1 获取证书 IIS文件夹内获得SSL证书文件第19页

20 3.2 证书安装 1 打开IIS服务管理器点击计算机名称双击服务器证书 2 双击打开服务器证书后点击右则的导入第20页

21 3 选择证书文件如果输入申请证书时有填写私钥密码需要输入密码点击确定参考私钥密码指引第21页

22 4 点击网站下的站点名称点击右则的绑定 5 打开网站绑定界面后点击添加第22页

23 6 添加网站绑定内容选择类型为https 端口443和指定对应的SSL证书点击确定第23页

24 7 添加完成后网站绑定界面将会看到刚刚添加的内容第24页

25 域名型证书吊销指引 1. 提交工单提交工单寻求腾讯云工程师协助您完成证书吊销 2. 提供相关信息提供证书信息包括证书ID 域名证书序列号 3. 证书序列号获取方法 3.1 下载证书到本地双击打开 3.2 切换到详细信息获取证书序列号第25页

26 4. 重新验证域名身份腾讯云工程师会要求您完相应的DNS验证或者文件验证完成身份验证后 CA机构方可继续完成证书吊销流程第26页

27 苹果ATS特性服务器配置指南配置指南 1. 需要配置符合PFS规范的加密套餐目前推荐配置 ECDHE-RSA-AES128-GCM-SHA256:ECDH:AES:HIGH:!aNULL:!MD5:!ADH:!DH 2. 需要在服务端TLS协议中启用TLS1.2 目前推荐配置 TLSv1 TLSv1.1 TLSv1.2 1.Nginx 证书配置更新Nginx根目录下 conf/nginx.conf 文件如下 server { ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDH:AES:HIGH:!aNULL:!MD5:!ADH:!DH; ssl_protocols TLSv1 TLSv1.1 TLSv1.2; } 2.Apache 证书配置更新Apache根目录下 conf/httpd.conf 文件如下 <IfModule mod_ssl.c> <VirtualHost *:443> SSLProtocol TLSv1 TLSv1.1 TLSv1.2 SSLCipherSuite ECDHE-RSA-AES128-GCMSHA256:ECDH:AES:HIGH:!aNULL:!MD5:!ADH:!DH </VirtualHost> </IfModule> 3.Tomcat 证书配置第27页

28 更新 %TOMCAT_HOME%\conf\server.xml 文件如下 <Connector port="443" protocol="http/1.1" SSLEnabled="true" scheme="https" secure="true" SSLProtocol="TLSv1+TLSv1.1+TLSv1.2" SSLCipherSuite="ECDHE-RSA-AES128-GCMSHA256:ECDH:AES:HIGH:!aNULL:!MD5:!ADH:!DH" /> Powered by TCPDF ( 第28页