华为云用户手册

约束条件 仅支持在证书有效期内，不限次数的下载证书，下载后即可在服务器（华为云的或非华为云的均可）上进行部署。 “证书请求文件”选择的是“系统生成 CS R”，下载的文件包含了“Apache”、“IIS”、“Nginx”、“Tomcat”4个文件夹和1个“domain.csr”文件。 “证书请求文件”选择的是“自己生成CSR”，下载的证书仅包含一个名为“server.pem”的文件。文件中已经包含两段证书代码，分别是服务器证书和CA中间证书。私钥为用户自行保存的，华为云SSL证书管理不提供。

下载的证书文件说明 下载文件说明：根据申请证书时，选择的“证书请求文件”方式的不同，下载文件也有所不同。 申请证书时，如果“证书请求文件”选择的是“系统生成CSR”，则下载文件说明如下： 下载的文件包含了“Apache”、“IIS”、“Nginx”、“Tomcat”4个文件夹和1个“domain.csr”文件，如图2所示，具体文件说明如表1所示。 图2 解压SSL证书 表1 下载文件说明 文件夹/文件名称 文件夹内容 Tomcat keystorePass.txt：证书密码。 server.jks：证书文件。 Nginx server.crt：证书文件，包含两段证书代码，分别为服务器证书和CA中间证书。 server.key：证书私钥文件，包含一段证书私钥代码。 Apache ca.crt：证书链文件，包含一段中级CA代码。 server.crt：证书文件，包含一段服务器证书代码。 server.key：证书私钥文件，包含一段证书私钥代码。 IIS keystorePass.txt：证书密码。 server.pfx：证书文件。 domain.csr 证书请求文件。 申请证书时，如果“证书请求文件”选择的是“自己生成CSR”，则下载文件说明如下： 下载的证书仅包含一个名为“server.pem”的文件。文件中已经包含两段证书代码，分别是服务器证书和CA中间证书。 私钥为用户自行保存的，华为云SSL证书管理不提供。在各个服务器上安装证书时，需要填写对应私钥的位置。 “自己生成CSR”的证书不支持一键部署到云产品。

约束条件 免费证书、多 域名 类型证书不支持重新签发。 证书签发后，各证书品牌针对“单域名”和“泛域名”证书重新签发的时间有以下限制： GlobalSign品牌：5天。 DigiCert品牌和GeoTrust品牌：25天。 CFCA 品牌、TrustAsia品牌和vTrus品牌：25天。 在规定时间内，“单域名”和“泛域名”证书可重新签发的次数不限，超过各证书品牌的规定的时间，将不能执行重新签发的操作。

效果验证 部署成功后，可在浏览器的地址栏中输入“https://域名”，按“Enter”。 如果浏览器地址栏显示安全锁标识，则说明证书安装成功。 如果网站仍然出现不安全提示，请参见为什么部署了SSL证书后，网站仍然出现不安全提示？。 如果通过域名访问网站时，无法打开网站，请参见为什么部署了SSL证书后，通过域名访问网站时，无法打开网站？进行处理。 如果仍未解决或出现其他问题，华为云市场提供SSL证书配置优化服务，专业工程师一对一服务，请直接单击一对一咨询进行购买，购买服务后，联系工程师进行处理。

步骤一：获取文件 安装证书前，需要获取证书文件和密码文件，请根据申请证书时选择的“证书请求文件”生成方式来选择操作步骤： 如果申请证书时，“证书请求文件”选择“系统生成CSR”，具体操作请参见：系统生成CSR。 如果申请证书时，“证书请求文件”选择“自己生成CSR”，具体操作请参见：自己生成CSR。 具体操作如下： 系统生成CSR 在本地解压已下载的证书文件。 下载的文件包含了“Apache”、“IIS”、“Nginx”、“Tomcat”4个文件夹和1个“domain.csr”文件，如图1所示。 图1 本地解压SSL证书 从“证书ID_证书绑定的域名_Nginx”文件夹内获得证书文件“证书ID_证书绑定的域名_server.crt”和私钥文件“证书ID_证书绑定的域名_server.key”。 “证书ID_证书绑定的域名_server.crt”文件包括两段证书代码“-----BEGIN CERTIFICATE-----”和“-----END CERTIFICATE-----”，分别为服务器证书和中级CA。 “证书ID_证书绑定的域名_server.key”文件包括一段私钥代码“-----BEGIN RSA PRIVATE KEY-----”和“-----END RSA PRIVATE KEY-----”。 自己生成CSR 解压已下载的证书压缩包，获得“证书ID_证书绑定的域名_server.pem”文件。 “证书ID_证书绑定的域名_server.pem”文件包括两段证书代码“-----BEGIN CERTIFICATE-----”和“-----END CERTIFICATE-----”，分别为服务器证书和中级CA证书。 将“证书ID_证书绑定的域名_server.pem”的后缀名修改为“crt”，即“server.crt”。 将“server.crt”和生成CSR时的私钥“server.key”放在任意文件夹内。

步骤三：修改配置文件 修改配置文件前，请将配置文件进行备份，并建议先在测试环境中进行部署，配置无误后，再在现网环境进行配置，避免出现配置错误导致服务不能正常启动等问题，影响您的业务。 配置Nginx中“conf”目录下的“nginx.conf”文件。 找到如下配置内容： #server { # listen 443 ssl; # server_name localhost; # ssl_certificate cert.pem; # ssl_certificate_key cert.key; # ssl_session_cache shared:SSL:1m; # ssl_session_timeout 5m; # ssl_ciphers HIGH:!aNULL:!MD5; # ssl_prefer_server_ciphers on; # location / { # root html; # index index.html index.htm; # } #} 删除行首的配置语句注释符号#。 server { listen 443 ssl; server_name localhost; ssl_certificate cert.pem; ssl_certificate_key cert.key; ssl_session_cache shared:SSL:1m; ssl_session_timeout 5m; ssl_ciphers HIGH:!aNULL:!MD5; ssl_prefer_server_ciphers on; location / { root html; index index.html index.htm; } } 修改如下参数，具体参数修改说明如表1所示。 ssl_certificate cert/server.crt; ssl_certificate_key cert/server.key; 完整的配置如下，其余参数根据实际情况修改： server { listen 443 ssl; #配置HTTPS的默认访问端口为443。如果在此处未配置HTTPS的默认访问端口，可能会导致Nginx无法启动。 server_name www.domain.com; #修改为您证书绑定的域名。 ssl_certificate cert/server.crt; #替换成您的证书文件的路径。 ssl_certificate_key cert/server.key; #替换成您的私钥文件的路径。 ssl_session_cache shared:SSL:1m; ssl_session_timeout 5m; ssl_ciphers HIGH:!aNULL:!MD5; #加密套件。 ssl_prefer_server_ciphers on; location / { root html; #站点目录。 index index.html index.htm; #添加属性。 } } 不要直接复制所有配置，参数中“ssl”开头的属性与证书配置有直接关系，其它参数请根据自己的实际情况修改。 表1 参数说明 参数 参数说明 listen SSL访问端口号，设置为“443”。 配置HTTPS的默认访问端口为443。如果未配置HTTPS的默认访问端口，可能会导致Nginx无法启动。 server_name 证书绑定的域名。示例：www.domain.com ssl_certificate 证书文件“server.crt”。 设置为“server.crt”文件的路径，且路径中不能包含中文字符，例如“cert/server.crt”。 ssl_certificate_key 私钥文件“server.key”。 设置为“server.key”的路径，且路径中不能包含中文字符，例如“cert/server.key”。 修改完成后保存配置文件。

后续操作 域名验证。 您必须配合完成域名验证来证明您对所申请绑定的域名的所有权，详细操作请参见域名验证。 （OV、EV）组织验证。 验证您是否发起了证书申请，详细操作请参见组织验证。 签发证书。 以上操作完成后，请您耐心等待，CA机构将还需要一段时间进行处理。CA机构审核通过后，将会签发证书。 安装证书。 将已签发的续费证书安装到您的Web服务器或部署到 华为云产品 ，替换即将过期的旧证书，详细操作请参见安装SSL证书。 查看续费证书是否安装成功。 续费证书安装到Web服务器后，可通过浏览器查看证书是否已更新。 通过Web浏览器访问您的网站。 单击浏览器地址栏的，查看证书的有效期是否已更新。 如果证书有效期已显示为新证书的有效期，表示您的续费证书已完成更新。 图1 有效期

自动续费限制说明 仅支持对在华为云SSL证书管理中购买的，已签发且即将到期的付费SSL证书进续费，上传的证书、免费证书、单域名扩容包暂不支持续费。 开启自动续费后，系统会在原证书即将到期前30天内自动为您购买一张相同规格的新证书，并且以原证书的申请信息提交证书申请，由于证书申请需要校验申请者的域名所有权、身份，因此您需要配合CA机构完成域名验证、组织验证后续费证书才会签发。 续费证书与原证书为独立的两张证书，因此续费证书签发后您需要安装到Web服务器或部署到华为云产品。 续费签发的新证书有效期为续费有效期（如1年）加上原证书剩余有效期。例如，您已签发的1年有效期证书将于2022年11月30日过期，如果您在2022年11月25日完成续费购买和签发，则续费签发证书的有效期将在2023年11月25日的基础上再加上5天，即2023年11月30日。 Digicert DV(basic) 泛域名证书自动续费在证书到期前15个自然日内触发。 Digicert DV(basic) 泛域名证书续费签发的新证书不支持补齐原证书剩余有效期，新证书有效期为实际续费时长。

步骤一：确认验证步骤 DNS验证只能在域名管理平台（即您的域名托管平台）上进行解析。请根据域名管理平台类型执行验证步骤： 域名管理平台类型 验证步骤 域名管理平台是华为云 继续执行后续所有步骤。 域名管理平台不是华为云 请确认是否愿意把域名从其他服务商迁移到华为云DNS？ 是。请执行以下操作步骤： 请参见怎样把域名从其他服务商迁移到华为云DNS？，把域名从其他服务商迁移到华为云DNS。 继续执行后续所有步骤。 否。请在相应的平台上进行DNS验证。例如，域名托管在阿里云，则需要到阿里云的云解析DNS控制台进行相关配置。

步骤四：查看域名验证是否生效 在Windows系统中，单击“开始”，输入“cmd”，进入命令提示符对话框。 根据不同的记录类型，选择执行表 验证命令所示命令，查看DNS验证配置是否已经生效。 表2 验证命令 记录类型 验证命令 TXT nslookup -q=TXT xxx CNAME nslookup -q=CNAME xxx xxx代表域名服务商返回的“主机记录”值。 如果界面回显的记录值（text的值）与域名服务商返回的“记录值”一致，如图3所示，说明域名授权验证配置已经生效。 图3 域名授权验证配置生效 如果界面未回显记录值，显示为“Non-existent domain”，说明域名授权验证配置未生效。 图4 域名授权验证配置未生效 如果DNS验证配置未生效，请根据以下可能原因进行排除修改，直至验证生效。 表3 排查处理 可能原因 处理方法 域名管理平台选择错误 DNS验证只能在域名管理平台（即您的域名托管平台）上进行解析，请确认您进行DNS验证的平台是否为您的域名托管平台。 旧解析记录未删除 证书签发后添加的解析记录即可删除。 如您上一次申请证书时添加的解析记录未删除，本次申请证书添加的解析记录将不会生效，请您确认是否未删除上一次解析记录。 记录配置出错 请您检查“主机记录”、“类型”或“记录值”是否填写正确。 图5 配置记录 配置的生效时间过长，生效时间还未到，因此无法查询到数据。 请您检查生效时间（TTL）是否设置过长，建议将生效时间修改为5分钟。不同的域名提供商的DNS配置不一样，如华为云的DNS（云解析服务）默认是5分钟后生效，如下图所示。 如配置的生效时间未到，请等时间到了后再进行验证。 图6 生效时间

DV证书DNS验证失败如何处理？ 失败提示信息 解决方案 提交验证频繁，请稍后再试 验证过于频繁，建议您等待3-5分钟后，执行验证操作。 DNS记录值不匹配 您配置的DNS记录值不正确，请参照步骤二：获取验证信息获取正确记录值后，重新配置。 DNS验证失败，请稍后再试。 请排查是否存在以下问题： 可能问题一：DNS记录值配置未生效。 解决方案：DNS记录值配置完后不会立即生效（具体生效时间为您域名服务器中设置的TTL缓存时间），建议您等待3-5分钟后，执行验证操作。 可能问题二：DNS记录值正确配置，且一段时间后验证依然失败。 解决方案：CA验证服务器位于国外，部分时间可能存在网络问题，导致验证DNS失败，请等待1-2小时，或尝试重新发起申请。 可能问题三：域名未完成备案或实名认证。 解决方案：请完成域名备案和实名认证后，进行域名所有权验证。 可能问题四：域名存在CAA类型的解析记录。 解决方案：CAA记录会导致验证失败，您需要在域名解析记录中删除所有CAA类型的记录。 可能问题五：CA验证服务器没有检测到DNS解析记录。 解决方案：CA验证服务器位于国外，需要您放开该域名国外的访问限制。

约束条件 推送WAF的场景下，可选择推送证书至不同企业项目下。 推送到CDN中，不能与CDN中已有SSL证书名称重复，否则将会推送失败。 申请证书时，如果“证书请求文件”选择的是“自己生成CSR”，那么签发的证书不支持推送到云产品。 如果没有购买对应的云产品，或数字证书所绑定的域名没有在对应的云产品中开通服务，请不要将数字证书推送到对应的云产品中，如果推送将可能导致推送失败。 如果您已将证书推送或者上传到对应的云产品中，即目标证书在对应的云产品中已存在，再次通过SCM平台推送时，将会推送失败。

后续操作 证书推送成功后，需要前往目标服务页面进行证书管理配置操作。 配置过程中如有问题，请参考相应服务文档进行处理或咨询对应服务。 ELB：如果需要支持HTTPS数据传输加密认证，在创建HTTPS协议监听的时候需绑定证书。此时，如果选择一键推送证书到ELB，则可以在ELB中选择已推送的证书。否则，需要手动上传证书。具体操作请参见ELB证书管理文档。 另外，一般的HTTPS业务场景只对服务器做认证，因此只需要配置服务器的证书即可，某些关键业务（如银行支付），需要对通信双方的身份都要做认证，即双向认证，以确保业务的安全性。双向认证具体操作请参见HTTPS双向认证。 CDN：如果需要实现HTTPS安全加速，则需要通过配置加速域名的HTTPS证书，并将其部署在全网CDN节点。此时，如果选择一键推送证书到CDN，则可以在CDN中选择已推送的证书。否则，需要手动上传证书。具体操作请参见CDN证书配置文档。 如需部署证书到CDN，请参见部署SSL证书到CDN章节。 已上传的第三方证书和有效期为三个月的测试证书部署到华为云产品需要收费，每一张证书部署到华为云产品的一个域名计为一次部署，证书部署费用为30元/次。具体收费详情请参见关于调整证书部署功能的通知。 WAF：当接入防护域名至WAF时，如果客户端与WAF之间的通信采用HTTPS协议，则需要配置证书。此时，如果选择一键推送证书到WAF，则可以在WAF中选择已推送的证书。否则，需要手动上传证书。具体操作请参见WAF证书配置文档。 如果已配置证书到WAF中，仅需要更新证书，具体操作请参见更新证书。

效果验证 部署成功后，可在浏览器的地址栏中输入“https://域名”，按“Enter”。 如果浏览器地址栏显示安全锁标识，则说明证书安装成功。 如果网站仍然出现不安全提示，请参见为什么部署了SSL证书后，网站仍然出现不安全提示？。 如果通过域名访问网站时，无法打开网站，请参见为什么部署了SSL证书后，通过域名访问网站时，无法打开网站？进行处理。 如果仍未解决或出现其他问题，华为云市场提供SSL证书配置优化服务，专业工程师一对一服务，请直接单击一对一咨询进行购买，购买服务后，联系工程师进行处理。

步骤二：配置Weblogic 登录Weblogic服务器管理控制台。 单击页面左上方“Lock & Edit”，解锁配置。 在“Domain Configurations”中，单击“Servers”。 图2 服务器 在服务器列表中，选择您需要配置服务器证书的Server，进入服务器的设置页面。 图3 目标服务器 修改HTTPS端口。 在服务器的配置页面，选择“General”页签，配置是否启用HTTP和HTTPS，以及访问端口号。 请勾选“Listen SSL Port Enabled”，并修改端口号为“443”。 图4 端口 配置认证方式和密钥。 在服务器的配置页面，选择“Keystores”页签，配置认证方式。 图5 认证方式 服务器身份认证请选择“Custom identity and Java Standard Trust”。 双向认证请选择“Custom Identity and Custom Trust”。 在“Identity”区域中，配置密钥。 配置密钥库文件server.jks所保存的服务器上的路径，并填写密钥库文件密码。 图6 密钥 Custom Identity Keystore：请填写jks文件保存路径。示例：C:\bea\server.jks Custom Identity Keystore Type：文件格式请填写“jks”。 Custom Identity Keystore Passphrase：请填在证书密码，即“keystorePass.txt”中的密码。 Confirm Custom Identity Keystore Passphrase：请再次填写证书密码。 在单向认证中，需要配置JRE默认信任库文件cacerts。 Cacerts默认密码为changeit。 图7 信任库文件 Java Standard Trust Keystore Passphrase：输入默认密码changeit。 Confirm Java Standard Trust Keystore Passphrase：再次输入默认密码。 配置服务器证书私钥别名。 在服务器的配置页面，选择“SSL”页签，配置以下参数： 图8 私钥 Identity and Trust Locations：请选择为“Keystores”。 Private KeyAlias：配置私钥库中的私钥别名信息。私钥别名可以使用keystool -list命令查看。 Private Key Passphrase：输入私钥保护密码。通常私钥保护密码和keystore文件保护密码相同。 Confirm Private Key Passphrase：再次输入私钥保护密码。 设置完成后，单击“Active Changes”，保存所有修改。 图9 保存配置 （可选）如果系统提示需要重启Weblogic，则需要重启后才能使配置生效。如图10所示，则无需重启。 图10 提示信息

后续处理 补充申请资料 CFCA品牌的证书提交证书申请后，CFCA机构将在1-2个工作日内给您提交申请时填写的邮箱发送一封邮件要求您提供盖公司公章的CFCA证书申请表（确保控制台申请信息与申请表申请信息一致）、营业执照复印件和经办人身份证复印件进行组织身份验证。请您按照要求提供相关资料。 vTrus品牌的国际标准（RSA）证书提交证书申请后，vTrus机构将在1-2个工作日内给您提交申请时填写的邮箱发送一封邮件要求您提供盖公司公章或部门章的授权函、经办人身份证复印件进行组织身份验证。请您按照要求提供相关资料。 提交审核后，CA颁发机构将在2-3个工作日内对您提交的申请进行处理并给您填写的邮箱发送一封验证邮件。 您需要按照要求进行域名验证。具体操作请参见域名验证。 如果已提交了证书申请，发现信息填写错误，可撤销申请，修改信息后重新提交证书申请，撤回申请具体操作请参见撤回证书申请。

约束条件 您已在ELB中配置过证书，即您需要先在ELB服务中完成首次证书的配置，才能通过SCM服务更新证书。ELB中创建证书详细操作请参见创建证书。 通过SCM更新ELB中的证书，可以更新部署在ELB监听器下证书，即在SCM控制台更新对应ELB中证书的内容及私钥，更新成功后，ELB将自动对该证书部署的监听器实例完成证书内容及私钥的更新。 ELB中使用的证书，需要指定域名，才可在SCM中完成更新证书的操作。 ELB中使用的证书如果指定了 多个域名 ，更新证书前需要注意SCM证书的域名与其是否完全匹配。如果不完全匹配，则在SCM中执行更新证书操作后，会同时将ELB中使用的证书域名更新为当前SCM中证书的域名。 示例：SCM中证书的主域名及附加域名为example01.com，example02.com，ELB中证书的域名为example01.com，example03.com，在SCM中执行更新证书操作后，会将该ELB中证书的域名更新为example01.com，example02.com。 申请证书时，如果“证书请求文件”选择的是“自己生成CSR”，那么签发的证书不支持一键部署到云产品。如需在对应云产品中使用证书，可以先将证书下载到本地，然后再到对应云产品中上传证书并进行部署。 国密证书暂不支持一键部署到华为云其他云产品。

SSL证书所有者和接受者权限说明 所有者可以对SSL证书执行任何操作，接受者仅可以执行部分操作，接受者支持的操作说明如表 SSL证书接受者支持的操作列表所示。 表1 SSL证书接受者支持的操作列表 角色 支持的操作 操作说明 接受者 scm:cert:get 通过控制台或API进行访问 scm:cert:getApplicationInfo 通过控制台或API进行访问 scm:cert:getDomainValidation 通过控制台或API进行访问 scm:cert:listDeployedResources 通过控制台或API进行访问 scm:cert:listCertificatesByTag 通过控制台或API进行访问 scm:cert:listTagsByCertificate 通过控制台或API进行访问 scm:cert:listAllTags 通过控制台或API进行访问 scm:cert:push 通过控制台或API进行访问 scm:cert:listPushHistory 通过控制台或API进行访问 scm:cert:enableAutoDeploy 通过控制台或API进行访问 scm:cert:listAutoDeployedResources 通过控制台或API进行访问 scm:cert:deployResources 通过控制台或API进行访问 scm:cert:listDeployResourcesHistory 通过控制台或API进行访问 scm:cert:getDeployQuota 通过控制台或API进行访问

约束与限制 满足以下条件（必须全部满足）的SSL证书订单，可申请退订： 您通过华为云SSL证书管理控制台购买了SSL证书。 距离SSL证书订单下单时间（完成支付的时间）不超过7个自然日，即距离SSL证书订单完成支付时间顺延不超过7*24小时。 例如，12月1日12:00完成SSL证书订单支付，则在12月8日11:59前可以退订，12月8日11:59后将不支持退订。 购买7天后不支持退款。 已购买的SSL证书符合以下情况之一： 未提交证书申请，证书状态为“待申请”。 提交过证书申请，证书未签发，且已取消申请，证书状态为“待申请”。 提交过证书申请，证书已签发，且在下单后7个自然日内完成了证书吊销流程（不仅是提交了吊销申请，须完成吊销流程），证书状态为“已吊销”。 全额退款将退还您在购买SSL证书时所支付的费用。 退款仅限于退还您在购买或续费SSL证书或相关服务订单时所支付的费用，代金券、优惠券抵扣的部分不支持退回。 多年期证书，第一张证书已签发，并在下单后7个自然日内完成了证书吊销流程，支持全额退订。

步骤三：修改配置文件 修改配置文件前，请将配置文件进行备份，并建议先在测试环境中进行部署，配置无误后，再在现网环境进行配置，避免出现配置错误导致服务不能正常启动等问题，影响您的业务。 打开Apache根目录下“conf.d/ssl.conf”文件。 配置证书绑定的域名。 找到并修改如下参数： ServerName www.example.com:443 完整配置如下（以“www.domain.com”为例）： ServerName www.domain.com:443 #用户服务器的域名 配置证书公钥。 找到并修改如下参数： SSLCertificateFile "${SRVROOT}/conf/server.crt" 设置证书公钥文件“server.crt”文件的路径，且路径中不能包含中文字符，例如“cert/server.crt”。 完整配置如下： SSLCertificateFile "cert/server.crt" 配置证书私钥。 找到并修改如下参数： SSLCertificateKeyFile "${SRVROOT}/conf/server.key" 设置为“server.key”文件的路径，且路径中不能包含中文字符，例如“cert/server.key”。 完整配置如下： SSLCertificateKeyFile "cert/server.key" 配置证书链。 找到并修改如下参数： #SSLCertificateChainFile "${SRVROOT}/conf/server-ca.crt" 删除行首的配置语句注释符号“#”，并设置为“ca.crt”文件的路径，且路径中不能包含中文字符，例如“cert/ca.crt”。 完整配置如下： SSLCertificateChainFile "cert/ca.crt" 修改后，保存“ssl.conf”文件并退出编辑。

效果验证 部署成功后，可在浏览器的地址栏中输入“https://域名”，按“Enter”。 如果浏览器地址栏显示安全锁标识，则说明证书安装成功。 如果网站仍然出现不安全提示，请参见为什么部署了SSL证书后，网站仍然出现不安全提示？。 如果通过域名访问网站时，无法打开网站，请参见为什么部署了SSL证书后，通过域名访问网站时，无法打开网站？进行处理。 如果仍未解决或出现其他问题，华为云市场提供SSL证书配置优化服务，专业工程师一对一服务，请直接单击一对一咨询进行购买，购买服务后，联系工程师进行处理。

步骤一：获取文件 安装证书前，需要获取证书文件和密码文件，请根据申请证书时选择的“证书请求文件”生成方式来选择操作步骤： 如果申请证书时，“证书请求文件”选择“系统生成CSR”，具体操作请参见：系统生成CSR。 如果申请证书时，“证书请求文件”选择“自己生成CSR”，具体操作请参见：自己生成CSR。 具体操作如下： 系统生成CSR 在本地解压已下载的证书文件。 下载的文件包含了“Apache”、“IIS”、“Nginx”、“Tomcat”4个文件夹和1个“domain.csr”文件，如图1所示。 图1 本地解压SSL证书 从“证书ID_证书绑定的域名_Apache”文件夹内获得证书文件“证书ID_证书绑定的域名_ca.crt”，“证书ID_证书绑定的域名_server.crt”和私钥文件“证书ID_证书绑定的域名_server.key”。 “证书ID_证书绑定的域名_ca.crt”文件包括一段中级CA证书代码“-----BEGIN CERTIFICATE-----”和“-----END CERTIFICATE-----”。 “证书ID_证书绑定的域名_server.crt”文件包括一段服务器证书代码“-----BEGIN CERTIFICATE-----”和“-----END CERTIFICATE-----”。 “证书ID_证书绑定的域名_server.key”文件包括一段私钥代码“-----BEGIN RSA PRIVATE KEY-----”和“-----END RSA PRIVATE KEY-----”。 自己生成CSR 解压已下载的证书压缩包，获得“证书ID_证书绑定的域名_server.pem”文件。 “证书ID_证书绑定的域名_server.pem”文件包括两段证书代码“-----BEGIN CERTIFICATE-----”和“-----END CERTIFICATE-----”，分别为服务器证书和中级CA证书。 复制“证书ID_证书绑定的域名_server.pem”文件的第一段证书代码（服务器证书），并另存为“server.crt”文件。 复制“证书ID_证书绑定的域名_server.pem”文件的第二段证书代码（中级CA），并另存为“ca.crt”文件。 将“ca.crt”、“server.crt”和生成CSR时的私钥“server.key”放在任意文件夹内。

效果验证 部署成功后，可在浏览器的地址栏中输入“https://域名”，按“Enter”。 如果浏览器地址栏显示安全锁标识，则说明证书安装成功。 如果网站仍然出现不安全提示，请参见为什么部署了SSL证书后，网站仍然出现不安全提示？。 如果通过域名访问网站时，无法打开网站，请参见为什么部署了SSL证书后，通过域名访问网站时，无法打开网站？进行处理。 如果仍未解决或出现其他问题，华为云市场提供SSL证书配置优化服务，专业工程师一对一服务，请直接单击一对一咨询进行购买，购买服务后，联系工程师进行处理。

步骤二：配置Resin 修改配置文件前，请将配置文件进行备份，并建议先在测试环境中进行部署，配置无误后，再在现网环境进行配置，避免出现配置错误导致服务不能正常启动等问题，影响您的业务。 （可选）安装Resin。 如果已安装，则请跳过该步骤。 登录Resin官网并根据您的系统下载不同的应用程序包。 本步骤以下载Windows版本的Resin-4.0.38版本为例进行说明。 解压下载的Resin包。 进入Resin-4.0.38根目录并找到resin.exe文件。 运行resin.exe文件，运行期间将出现如图2所示的命令提示符窗口。 图2 提示窗口 运行完成后，启动浏览器，在Web地址栏中输入Resin默认地址“http://127.0.0.1:8080”，并按“Enter”。 当界面显示如图3所示时，则表示安装成功。 图3 登录Resin 修改配置文件。 在Resin安装目录下的“Resin.properties”配置文件（由于Resin版本的不同，配置文件也可能为“resin.xml”文件）中，找到如下参数： # specifies the --server in the config file # home_server : app-0 # Set HTTP and HTTPS bind address # http_address : * # Set HTTP and HTTPS ports. # Use overrides for individual server control, for example: app-0.http : 8081 app.http : 8080 # app.https : 8443 web.http : 8080 # web.https : 8443 将“app.https”和“web.https”前的注释符“#”去掉，并将“8443端”口修改为“443”。修改后，如下所示： “app.https”、“web.https”：指定服务器要使用的端口号，建议配置为“443”。 # specifies the --server in the config file # home_server : app-0 # Set HTTP and HTTPS bind address # http_address : * # Set HTTP and HTTPS ports. # Use overrides for individual server control, for example: app-0.http : 8081 app.http : 8080 app.https : 443 web.http : 8080 web.https : 443 找到如下参数，并将“jsse_keystore_tye”、“jsse_keystore_file”和“jsse_keystore_password”三行前的注释符“#”去掉。 # JSSE certificate configuration # Keys are typically stored in the resin configuration directory. jsse_keystore_tye : jks jsse_keystore_file : cert/server.jks jsse_keystore_password : 证书密码 修改证书相关配置参数，具体配置请参见表1。 # JSSE certificate configuration # Keys are typically stored in the resin configuration directory. jsse_keystore_tye : jks jsse_keystore_file : cert/server.jks jsse_keystore_password : 证书密码 表1 参数说明 参数 参数说明 jsse_keystore_tye 设定Keystore文件的类型，一般都设为jks jsse_keystore_file “server.jks”文件存放路径，绝对路径和相对路径均可。示例：cert/server.jks jsse_keystore_password “server.jks”的密码。填写“keystorePass.txt”文件内的密码。 须知： 如果密码中包含“&”，请将其替换成“&”，以免配置不成功。 示例： 如果keystorePass="Ix6&APWgcHf72DMu"，则修改为keystorePass="Ix6&APWgcHf72DMu"。 修改完成后保存配置文件。 重启Resin。

前提条件 已开通CDN（Content Delivery Network，内容分发网络），且已在CDN中配置了与SSL证书匹配的网站域名。 如果没有购买CDN，或数字证书所绑定的域名没有在CDN中开通服务，请不要将数字证书部署到CDN中，如果部署将可能导致部署失败。 已在 云证书管理服务 中申请SSL证书且状态为“已签发”，或者已将在其他平台签发的SSL证书上传至 云证书管理 服务中且状态为“托管中”。 证书为国际标准证书。

步骤二：配置IIS 安装IIS，请参照IIS相关安装指导进行安装。 打开IIS管理控制台，双击“服务器证书”，如图2所示。 图2 服务器证书 在弹出的窗口中，单击“导入”，如图3所示。 图3 导入 导入“server.pfx”证书文件，单击“确定”。 “密码”配置框内需要输入“keystorePass.txt”文件内的密码。 图4 导入pfx证书文件 鼠标右键单击目标站点（这里以默认站点为例），选择“编辑绑定”，如图5所示。 图5 编辑绑定 在弹出的窗口中，单击“添加”，并填写以下信息。 图6 添加网站绑定 类型：选择“https”。 端口：保持默认的“443”端口即可。 SSL证书：选择4导入的证书。 填写完成后，单击“确定”。

效果验证 部署成功后，可在浏览器的地址栏中输入“https://域名”，按“Enter”。 如果浏览器地址栏显示安全锁标识，则说明证书安装成功。 如果网站仍然出现不安全提示，请参见为什么部署了SSL证书后，网站仍然出现不安全提示？。 如果通过域名访问网站时，无法打开网站，请参见为什么部署了SSL证书后，通过域名访问网站时，无法打开网站？进行处理。 如果仍未解决或出现其他问题，华为云市场提供SSL证书配置优化服务，专业工程师一对一服务，请直接单击一对一咨询进行购买，购买服务后，联系工程师进行处理。

约束条件 如果资源所有者与您属于同一组织，且启用“启用与组织共享资源”功能，将自动获得共享资源的访问权限，无需接受邀请。 如果资源所有者与您不属于同一组织，或者属于同一组织但未启用“启用与组织共享资源”功能，将收到加入资源共享实例的邀请。 资源共享实例的邀请默认保留7天，如果在到期前未接受邀请，系统会自动拒绝邀请，如还需使用共享资源，请再次创建共享实例以生成新的邀请。 若需要启用“启用与组织共享资源”功能，具体操作请参见启用与组织共享资源。

修订记录 发布日期 修改说明 2024-05-30 第三十四次正式发布。 新增标签管理章节，增加对接TMS标签管理的描述。 刷新推送SSL证书到云产品章节，推送SSL证书至WAF时，可选择企业项目。 刷新查看已关联云资源章节，增加过期证书可查看部署记录的描述。 2024-03-15 第三十三次正式发布。 新增安装国密标准（SM2）SSL证书到Web服务器章节，增加国密证书安装的操作指导。 刷新查看SSL证书详情章节，补充关联资源的参数描述。 刷新查看已关联云资源章节，优化查看关联资源的步骤描述。 2023-12-15 第三十一次正式发布。 优化开启SSL证书到期自动替换章节，增加根证书校验场景的描述。 优化查看SSL证书详情章节，增加关于过期证书自动折叠不显示的相关描述。 2023-10-17 第三十次正式发布。 优化购买SSL证书章节，补充多年期证书显示剩余年数的描述。 优化删除SSL证书章节，补充批量删除证书功能的描述。 优化推送SSL证书到云产品，补充当推送证书到WAF、ELB时可勾选多个区域，实现多区域证书推送功能的描述。 优化查看SSL证书详情章节，优化修改证书名称和描述的步骤。 刷新域名证书监控章节，新增域名证书监控支持包周期付费的说明。 2023-08-17 第二十九次正式发布。 优化推送SSL证书到云产品章节，推送SSL证书至云产品约束条件。 2023-06-30 第二十八次正式发布。 新增域名证书监控章节。 新增CSR管理章节。 优化申请SSL证书章节，多域名证书，主域名同时支持绑定泛域名和单域名。 2023-06-12 第二十七次正式发布。 优化吊销SSL证书约束限制。 2023-04-17 第二十六次正式发布。 新增开启SSL证书到期自动替换和关闭SSL证书到期自动替换章节。 2023-04-10 第二十五次正式发布。 优化重新签发章节内容，CFCA 品牌、TrustAsia品牌和vTrus品牌签发后，重签时间限制为25天。 2023-03-24 第二十四次正式发布。 优化重新签发章节内容，免费证书不支持重新签发。 2023-02-21 第二十三次正式发布。 优化在Tomcat服务器上安装SSL证书、在Nginx服务器上安装SSL证书、在Apache服务器上安装SSL证书，增加操作系统、服务器版本说明。 2023-01-19 第二十二次正式发布。 刷新方式二：手动DNS验证章节，修改记录类型说明。 优化方式三：文件验证（IP证书&DV证书）,章节，新增创建文件夹示例。 2023-01-11 第二十一次正式发布。 刷新方式二：手动DNS验证章节，新增DNS验证结果审核说明。 刷新方式三：文件验证（IP证书&DV证书）章节，说明仅IP证书支持文件验证。 新增查看已关联云资源章节。 2022-12-23 第二十次正式发布。 优化手动续费、自动续费章节。 2022-11-16 第十九次正式发布。 优化SCM自定义策略。 刷新提交 SSL证书申请 章节内容，增加vTrus品牌资料补充说明。 2022-11-03 第十八次正式发布。 新增TrustAsia、vTrus两个品牌。 2022-10-31 第十七次正式发布。 优化文档架构。用户指南拆分为SSL证书管理和私有证书管理两本手册。 优化SCM权限管理、SCM关键操作审计管理以及部署国际标准SSL证书到华为云产品章节内容。 2022-09-29 第十六次正式发布。 优化在Tomcat服务器上安装SSL证书、在Nginx服务器上安装SSL证书、在Apache服务器上安装SSL证书、在IIS服务器上安装SSL证书、在Weblogic服务器上安装SSL证书、在Resin服务器上安装SSL证书章节内容。 2022-09-23 第十五次正式发布。 刷新提交SSL证书申请章节内容，新增根证书哈希算法、敏感词等描述。 优化重新签发章节内容，多域名证书不支持重新签发。 2022-08-30 第十四次正式发布。 刷新购买SSL证书章节内容，新增CFCA证书品牌。 优化续费SSL证书章节内容。 2022-08-09 第十三次正式发布。 优化购买SSL证书章节内容，根据控制台调整相关资料描述。 2022-07-27 第十二次正式发布。 优化方式二：手动DNS验证章节内容，增加域名验证解析说明、步骤五域名验证审核操作。 2022-07-11 第十一次正式发布。 优化购买SSL证书章节内容，支持购买多年期（2年或3年）SSL证书。 优化续费SSL证书章节内容，支持设置开通自动续费。 2022-06-22 第十次正式发布。 优化上传已有SSL证书章节内容，新增国密（SM）证书上传说明。 新增下载根证书章节内容。 2022-04-20 第九次正式发布。 新增部署国际标准SSL证书到华为云产品章节。 2021-11-26 第八次正式发布。 新增手动续费、分配SSL证书至企业项目章节。 2021-11-01 第七次正式发布。 根据界面控制台显示修改刷新资料。 调整文档架构。 新增申购SSL证书概述、购买SSL证书、提交SSL证书申请、域名验证、组织验证（OV、EV）、签发SSL证书章节。 2021-09-30 第六次正式发布。 新增退订SSL证书章节内容，支持在控制台直接退订SSL证书订单。 2021-06-15 第五次正式发布。 新增在Resin服务器上安装SSL证书章节内容。 2021-03-19 第四次正式发布。 刷新上传已有SSL证书章节内容，上传SSL证书支持到期邮件和短信提醒。 2021-03-12 第三次正式发布。 根据申请SSL证书优化后的界面刷新截图。 SSL证书管理新增自动DNS验证功能。 2021-01-26 第二次正式发布。 合入SSL证书管理相关功能。 增加重新签发章节。 2020-01-17 第一次正式发布。

为 MRS 集群配置委托 配置存算分离支持在新建集群中配置委托实现，也可以通过为已有集群绑定委托实现。本示例以为已有集群配置委托为例介绍。 登录MRS控制台，在导航栏选择“现有集群”。 单击集群名称，进入集群详情页面。 在集群详情页的“概览”页签，单击“ IAM 用户同步”右侧的“单击同步”进行IAM用户同步。 在集群详情页的“概览”页签，单击“委托”右侧的“管理委托”选择创建ECS委托的委托并单击“确定”进行绑定，或单击“新建委托”进入IAM控制台进行创建后再在此处进行绑定。 图3 绑定委托