Tous les produits
Search

Ce produit

    Certificate Management Service:Déployer des certificats SSL sur ECS et Simple Application Server

    Centre de documentation

    Certificate Management Service:Déployer des certificats SSL sur ECS et Simple Application Server

    Dernière mise à jour :Aug 10, 2026

    Certificate Management Service automatise le déploiement des certificats SSL. Déployez des certificats sur les instances de confiance ECS en un clic, ou mettez à jour les certificats sur les instances ECS et Simple Application Server où un certificat est déjà configuré.

    Méthodes de déploiement

    Choisissez une méthode de déploiement adaptée à votre type de serveur et à votre scénario.


    Fonctionnalité


    Déploiement en un clic (pour le déploiement initial)


    Déploiement manuel (pour les mises à jour de certificats)


    Mécanisme principal


    Entièrement automatisé. La clé privée reste au sein de l'instance et communique avec le module de confiance matériel via l'interface PKCS#11 pour une sécurité élevée.


    Semi-automatisé. Un nouveau fichier de certificat est téléchargé vers un chemin spécifié sur le serveur, écrasant l'ancien.


    Serveurs pris en charge


    Prend uniquement en charge certaines instances de confiance ECS (architecture x86 de 7e et 8e génération). Simple Application Server n'est pas pris en charge.


    Prend en charge toutes les instances ECS et Simple Application Server.


    Systèmes d'exploitation pris en charge


    Images UEFI Alibaba Cloud Linux 3.x et Ubuntu 22.04.


    Toutes les principales distributions Linux et Windows Server.


    Serveurs web pris en charge


    Prend uniquement en charge des versions spécifiques de Nginx installées depuis les sources yum ou apt.


    Prend en charge tous les serveurs web, y compris Nginx, Apache et Tomcat.


    Exigences relatives aux certificats SSL


    Certificats SSL à domaine unique utilisant l'algorithme RSA.


    Tous les types de certificats SSL.


    Cas d'utilisation


    Déploiement initial d'un certificat sur une instance de confiance ECS éligible pour activer les renouvellements entièrement automatisés.


    Mettre à jour un certificat existant déployé sur une instance ECS ou Simple Application Server.
    Remarque

    Si aucune de ces méthodes ne répond à vos besoins, la rubrique Choisir une méthode de déploiement de certificat SSL couvre d'autres options.

    Déploiement en un clic (pour les instances de confiance ECS)

    S'intègre aux modules de sécurité des instances de confiance ECS pour un déploiement entièrement automatisé et hautement sécurisé des certificats et des clés privées. Les certificats pluriannuels sont renouvelés automatiquement.

    Prérequis

    • Type et spécifications de l'instance : instances de confiance ECS basées sur l'architecture x86 de 7e et 8e génération (Créer une instance de confiance). Simple Application Server n'est pas pris en charge.

    • Système d'exploitation : images UEFI Alibaba Cloud Linux 3.x ou Ubuntu 22.04.

    • Serveur web : versions spécifiques de Nginx installées depuis un référentiel yum ou apt.

      • Pour les images Alibaba Cloud Linux 3.x : Nginx installé via yum, versions 1.18.0-2.1.al8 à 1.20.1-1.0.5.al8 (exclus).

      • Pour les images UEFI Ubuntu 22.04 : Nginx installé via apt.

    • Type et état du certificat : un certificat SSL à domaine unique utilisant l'algorithme RSA et se trouvant dans l'état Issued.

    • Autorisations du serveur : utilisez le compte root ou un compte disposant des autorisations sudo.

    • Résolution DNS : le nom de domaine est résolu vers l'adresse IP publique du serveur.

    Étape 1 : Vérifier l'état de Cloud Assistant

    Cloud Assistant doit être installé et en cours d'exécution sur l'instance ECS cible.

    1. Accédez à Console ECS - Cloud Assistant.

    2. Sélectionnez le groupe de ressources et la région de votre instance cible.

    3. Dans l'onglet Instance, localisez le serveur ECS cible et vérifiez l'état dans la colonne Cloud Assistant Status.

      Remarque

      Si Cloud Assistant n'est pas installé ou présente un comportement anormal, consultez la rubrique Afficher l'état de Cloud Assistant et résoudre les exceptions pour le dépannage.

    Étape 2 : Configurer le serveur web Nginx

    Lors du déploiement initial, modifiez la configuration de Nginx pour accéder à la clé privée depuis le module de confiance via PKCS#11. Les mises à jour ultérieures ignorent cette étape.

    Alibaba Cloud Linux 3.x

    Remarque

    Cette section utilise Nginx 1.20.1 comme exemple. Le répertoire d'installation par défaut pour Nginx installé via yum est /etc/nginx/. Si vous avez modifié ce répertoire, ajustez les chemins en conséquence.

    1. Confirmez votre version de Nginx.

      Versions prises en charge : 1.18.0-2.1.al8 à 1.20.1-1.0.5.al8 (exclus).

      Important

      Si Nginx est déjà installé, vérifiez que la version est prise en charge. Effectuez une rétrogradation ou une réinstallation si nécessaire.

    2. Ouvrez le fichier /etc/nginx/nginx.conf et ajoutez ssl_engine pkcs11; après pid /run/nginx.pid; pour spécifier le moteur cryptographique PKCS#11. L'exemple suivant indique l'emplacement et la configuration complète :

      user nginx;
worker_processes auto;
error_log /var/log/nginx/error.log;
pid /run/nginx.pid;

# Specify the PKCS#11 crypto engine
ssl_engine pkcs11;

    3. Ouvrez le fichier /etc/nginx/nginx.conf, décommentez la section Settings for a TLS enabled server et ajoutez include "/etc/acm/ssl/nginx-acm.conf"; pour référencer la configuration de la clé SSL.

      • Contenu à ajouter :

        include "/etc/acm/ssl/nginx-acm.conf";

      • L'exemple suivant indique l'emplacement et la configuration complète :

        server {
        listen       443 ssl http2;
        listen       [::]:443 ssl http2;
       
        # Specify the hostname or Common Name (CN)
        server_name  example.com;
        root         /usr/share/nginx/html;

        ssl_session_cache shared:SSL:1m;
        ssl_session_timeout  10m;
        ssl_prefer_server_ciphers on;
       
        # Reference the SSL key configuration
        include "/etc/acm/ssl/nginx-acm.conf";
       
        # Load configuration files for the default server block.
        include /etc/nginx/default.d/*.conf;

        error_page 404 /404.html;
            location = /40x.html {
        }

        error_page 500 502 503 504 /50x.html;
            location = /50x.html {
        }
    }

    4. Ouvrez le fichier /usr/lib/systemd/system/nginx.service et ajoutez P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock ainsi que OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf pour configurer la communication avec le service de clé SSL.

      1. Contenu à ajouter :

        Environment="P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock"
Environment="OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf"

      2. L'exemple suivant indique l'emplacement et la configuration complète :

        [Unit]
Description=A high performance web server and a reverse proxy server
Documentation=man:nginx(8)
After=network.target nss-lookup.target

[Service]
Type=forking
PIDFile=/run/nginx.pid
ExecStartPre=/usr/sbin/nginx -t -q -g 'daemon on; master_process on;'
ExecStart=/usr/sbin/nginx -g 'daemon on; master_process on;'
ExecReload=/usr/sbin/nginx -g 'daemon on; master_process on;' -s reload
ExecStop=-/sbin/start-stop-daemon --quiet --stop --retry QUIT/5 --pidfile /run/nginx.pid
TimeoutStopSec=5
KillMode=mixed

# Configure communication with the SSL key service
Environment="P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock"
Environment="OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf"

[Install]
WantedBy=multi-user.target
        Remarque

        Si vous ne connaissez pas le chemin d'accès au fichier de service systemd de Nginx, exécutez sudo find / -name "nginx.service" pour le localiser.

    5. Exécutez la commande suivante pour recharger la configuration du service systemd de Nginx :

      systemctl daemon-reload

    Ubuntu 22.04

    Remarque

    Cette section utilise Nginx 1.18.0 comme exemple. Le répertoire d'installation par défaut pour Nginx installé via apt est /etc/nginx/. Si vous avez modifié ce répertoire ou installé Nginx par une autre méthode, ajustez les chemins en conséquence.

    1. Ouvrez le fichier /etc/nginx/nginx.conf et ajoutez ssl_engine pkcs11; après pid /run/nginx.pid; pour spécifier le moteur cryptographique SSL/TLS. L'exemple suivant indique l'emplacement et la configuration complète :

      user www-data;
worker_processes auto;
pid /run/nginx.pid;

# Specify the PKCS#11 crypto engine
ssl_engine pkcs11;

include /etc/nginx/modules-enabled/*.conf;

    2. Ouvrez le fichier /etc/nginx/sites-enabled/default, créez un nouveau bloc de serveur dans le fichier et ajoutez include "/etc/acm/ssl/nginx-acm.conf"; à l'intérieur.

      1. Contenu à ajouter :

        include "/etc/acm/ssl/nginx-acm.conf";

      2. L'exemple suivant indique l'emplacement et la configuration complète :

        server {
    listen 443 ssl;
    
    # Specify the hostname or Common Name (CN)
    server_name example.com;
    root /var/www/html;
    index index.html index.htm;
    access_log /var/log/nginx/access_6equj5.log;
    error_log /var/log/nginx/error_6equj5.log;
    ssl on;
    
    # Reference the SSL key configuration
    include "/etc/acm/ssl/nginx-acm.conf";

    location / {
      try_files $uri $uri/ =404;
    }
}

    3. Ouvrez le fichier /usr/lib/systemd/system/nginx.service et ajoutez P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock ainsi que OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf pour configurer la communication avec le service de clé SSL.

      Remarque

      Si vous ne connaissez pas le chemin d'accès au fichier de service systemd de Nginx, exécutez sudo find / -name "nginx.service" pour le localiser.

      1. Contenu à ajouter :

        Environment="P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock"
Environment="OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf"

      2. L'exemple suivant indique l'emplacement et la configuration complète :

        [Unit]
Description=A high performance web server and a reverse proxy server
Documentation=man:nginx(8)
After=network.target nss-lookup.target

[Service]
Type=forking
PIDFile=/run/nginx.pid
ExecStartPre=/usr/sbin/nginx -t -q -g 'daemon on; master_process on;'
ExecStart=/usr/sbin/nginx -g 'daemon on; master_process on;'
ExecReload=/usr/sbin/nginx -g 'daemon on; master_process on;' -s reload
ExecStop=-/sbin/start-stop-daemon --quiet --stop --retry QUIT/5 --pidfile /run/nginx.pid
TimeoutStopSec=5
KillMode=mixed

# Configure communication with the SSL key service
Environment="P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock"
Environment="OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf"

[Install]
WantedBy=multi-user.target

    4. Exécutez la commande suivante pour recharger la configuration du service systemd de Nginx :

      systemctl daemon-reload

    Étape 3 : Déployer le certificat depuis la console

    1. Connectez-vous à la console Certificate Management Service.

    2. Dans le volet de navigation de gauche, sélectionnez Deployment Management > Deployment to Cloud Servers.

    3. Sur la page Deployment to Cloud Servers, cliquez sur Create Task, puis suivez les étapes ci-dessous pour déployer le certificat SSL.

      1. Sur la page Configure Basic Information, saisissez un Task Name et cliquez sur Next.

      2. Sur la page Select Certificate, sélectionnez un Certificate Type et des Associated Certificates, puis cliquez sur Next.

        Chaque tâche déploie un seul certificat. Créez plusieurs tâches pour plusieurs certificats.

      3. Sur la page Select Resource, définissez All Types sur Quick Deployment, sélectionnez l'instance ECS cible et cliquez sur Next.

        • Le système répertorie toutes les instances ECS éligibles sous votre compte. Si aucune ressource n'apparaît, dans la zone Total Resources en haut à gauche, cliquez sur Synchronize Cloud Resources. Le temps de synchronisation dépend du nombre de ressources.

        • Pour filtrer les instances prises en charge, dans la liste déroulante All Types, sélectionnez Quick Deployment pour filtrer rapidement les instances prises en charge.

      4. Dans l'onglet Quick Deployment, vérifiez que les exigences de l'environnement de déploiement des certificats sont respectées, cochez la case Confirm that the preceding operations are complete. et cliquez sur Continue to Deploy.

        • Dans la boîte de dialogue d'invite, cliquez sur OK.

          Avertissement

          Le redémarrage du serveur web interrompt le service. Effectuez le déploiement pendant les heures creuses.

          image

          Pour redémarrer Nginx manuellement, utilisez la commande suivante :

          systemctl restart nginx.service

        • Après avoir redémarré Nginx, utilisez la commande curl pour tester la connexion SSL de Nginx. Le format de la commande est curl -v https://<your_domain_name>.

    Étape 4 : Vérifier l'état de la tâche de déploiement

    Sur la page Deployment to Cloud Servers, recherchez la tâche que vous avez créée. Si l'état de la tâche Task Status est Deployed Successfully, cela signifie que le certificat a été correctement téléchargé sur le serveur cloud.

    image

    Étape 5 : Vérifier le certificat SSL

    Une tâche de déploiement réussie ne garantit pas que le certificat est actif. Vérifiez-le en accédant à votre domaine.

    1. Accédez à votre nom de domaine via HTTPS. Exemple : https://example.com. Remplacez example.com par votre nom de domaine réel.

    2. Si une icône de verrou apparaît dans la barre d'adresse du navigateur, le certificat est déployé avec succès. En cas d'erreur d'accès ou si l'icône de verrou n'apparaît pas, videz le cache de votre navigateur ou réessayez en mode navigation privée.

      image

      À partir de Chrome 117, l'icône image dans la barre d'adresse a été remplacée par une nouvelle icône image. Cliquez sur cette icône pour afficher les informations de verrouillage de sécurité.

    Déploiement manuel (pour les mises à jour de certificats)

    Met à jour un certificat existant sur ECS ou Simple Application Server en écrasant les anciens fichiers de certificat. Non destiné aux déploiements initiaux.

    Prérequis

    • Type de serveur cloud : serveurs Alibaba Cloud uniquement (Simple Application Server et ECS).

    • Serveur web : prend en charge les serveurs web, tels que Nginx et Apache, qui utilisent directement des fichiers de certificat PEM ou CRT. IIS n'est pas pris en charge.

    • Autorisations du serveur : utilisez le compte root ou un compte disposant des autorisations sudo.

    Étape 1 : Déployer le certificat SSL

    1. Connectez-vous à la console Certificate Management Service.

    2. Dans le volet de navigation de gauche, choisissez Deployment Management > Deployment to Cloud Servers.

    3. Sur la page Deployment to Cloud Servers, cliquez sur Create Task.

      1. Sur la page Configure Basic Information, saisissez un Task Name et cliquez sur Next.

      2. Sur la page Select Certificate, sélectionnez un Certificate Type, sélectionnez les Associated Certificates, puis cliquez sur Next.

        Remarque

        Les certificats émis par le service Private CA sont synchronisés avec l'onglet Uploaded Certificates.

      3. Sur la page Select Resource, sélectionnez Resources by Cloud Service, cochez l'instance cible et cliquez sur Next. Le système répertorie automatiquement toutes les instances de serveur cloud éligibles sous votre compte (serveurs sur lesquels une application web est déployée).

        Remarque

        Si aucune ressource n'apparaît, cliquez sur Synchronize Cloud Resources dans la zone Total Resources en haut à gauche pour effectuer une synchronisation manuelle.

      4. Dans l'assistant Deployment Configuration, configurez les paramètres comme décrit dans le tableau suivant et cliquez sur OK.

        Important

        Le Certificate Path et le Private Key Path doivent correspondre aux chemins configurés dans votre application web. Sinon, le certificat ne prendra pas effet.

        La figure suivante montre un exemple de chemins de fichiers de certificat Nginx sur un serveur cloud à titre de référence :

        image

        Paramètre

        Description

        Exemple

        Certificate Path

        Le chemin absolu vers le fichier de certificat sur le serveur.

        • Exemple Linux : /ssl/cert.pem

        • Exemple Windows : c:\ssl\cert.pem

        Private Key Path

        Le chemin absolu vers le fichier de clé privée sur le serveur.

        • Exemple Linux : /ssl/cert.key

        • Exemple Windows : c:\ssl\cert.key

        Certificate Chain Path

        Le chemin absolu vers le fichier de chaîne de certificats sur le serveur.

        Remarque

        Si votre application web est déjà configurée avec un fichier de chaîne de certificats, saisissez le chemin correspondant ici.

        • Exemple Linux : /ssl/cert.cer

        • Exemple Windows : c:\ssl\cert.cer

        Reload Command

        Exécutée après le déploiement pour appliquer le nouveau certificat.

        Important

        En cas d'échec du redémarrage, connectez-vous au serveur et redémarrez-le manuellement.

        • Rechargement gracieux de Nginx : sudo nginx -s reload.

        • Redémarrage d'Apache : sudo systemctl restart httpd.

      5. Dans la boîte de dialogue, cliquez sur OK.

        • Si aucune commande de redémarrage n'est configurée, cliquez sur OK dans l'invite, puis redémarrez manuellement le service web sur le serveur.

          image

        • Si une commande de redémarrage est configurée, confirmez les risques et cliquez sur OK. Une fois le déploiement terminé, la commande de redémarrage configurée s'exécute pour appliquer le nouveau certificat.

          image

    Étape 2 : Vérifier l'état de la tâche de déploiement

    Sur la page Deployment to Cloud Servers, recherchez la tâche que vous avez créée. Si l'état de la tâche Task Status est Deployed, le certificat a été correctement mis à jour sur le serveur cloud.

    Étape 3 : Vérifier le certificat SSL

    1. Accédez à votre nom de domaine via HTTPS. Exemple : https://example.com. Remplacez example.com par votre nom de domaine réel.

    2. Si une icône de verrou apparaît dans la barre d'adresse du navigateur, le certificat est déployé avec succès. En cas d'erreur d'accès ou si l'icône de verrou n'apparaît pas, videz le cache de votre navigateur ou réessayez en mode navigation privée.

      image

      À partir de Chrome 117, l'icône image dans la barre d'adresse a été remplacée par une nouvelle icône image. Cliquez sur cette icône pour afficher les informations de verrouillage de sécurité.

    Remarque

    Si vous rencontrez toujours des problèmes, la section FAQ fournit des étapes de dépannage.

    Quotas et limites

    • Frais de déploiement :

      • Le déploiement de certificats officiellement émis est gratuit et ne consomme pas votre quota de déploiement.

      • Le déploiement de certificats Self-uploaded consomme votre quota de déploiement. Veuillez acheter un pack de déploiement selon vos besoins. Pour connaître les frais spécifiques, reportez-vous à la page d'achat. En cas d'échec du déploiement, le quota de déploiement correspondant sera remboursé.

    • Limites de quota :

      Chaque tâche déploie un certificat sur une instance. Créez plusieurs tâches pour plusieurs instances.

    Mise en production

    • Risque d'interruption de service : les deux méthodes peuvent redémarrer votre serveur web (Nginx, Apache), entraînant une brève interruption de service. Effectuez le déploiement pendant les heures creuses.

    • Rechargement gracieux : si votre serveur web prend en charge le rechargement gracieux (par exemple, Nginx), utilisez nginx -s reload ou systemctl reload nginx dans le champ Restart command au lieu de restart pour minimiser l'interruption des connexions.

    • Surveillance et alertes : activez la surveillance des noms de domaine pour recevoir des rappels d'expiration de certificat et éviter les interruptions de service. Acheter et activer la surveillance de domaine public.

    FAQ

    Certificat non actif après le déploiement

    Les raisons courantes incluent :

    • Le port 443 n'est pas ouvert dans le groupe de sécurité ou le pare-feu du serveur.

    • Le domaine auquel vous accédez n'est pas inclus dans les Bound Domains du certificat.

    • L'état de la tâche Task Status de la tâche de déploiement est anormal. Accédez à la page des détails de la tâche et cliquez sur View Failure Cause. Mettez à jour les configurations pertinentes en fonction des informations fournies et réessayez.

    Erreur « Cloud Assistant not install or run »

    image

    Cause : Cloud Assistant n'est pas installé sur l'instance ECS ou ne fonctionne pas comme prévu.