Un certificat SSL ne prend pas effet automatiquement après son émission. Vous devez le déployer à l'endroit où votre service est exposé aux visiteurs. Ce n'est qu'à cette condition qu'un navigateur marque votre site web comme sécurisé. Cette rubrique décrit les emplacements où un certificat doit être déployé et les méthodes de déploiement disponibles pour chaque emplacement.
Avant de commencer
Avant de commencer, assurez-vous de disposer d'un certificat SSL émis par une autorité de certification (CA) de confiance. Pour acheter un certificat et demander son émission, consultez les rubriques Acheter un certificat commercial et Soumettre une demande CA.
Confirmer l'emplacement de déploiement du certificat
Lorsqu'un visiteur accède à votre site web, la requête peut transiter par des services tels que Content Delivery Network (CDN), Web Application Firewall (WAF) et des équilibreurs de charge avant d'atteindre votre serveur. Pour qu'une requête utilise HTTPS à une étape spécifique, vous devez déployer un certificat à cette étape. Une étape sans certificat continue d'utiliser HTTP, et les données en transit ne sont pas protégées. Par conséquent, il peut être nécessaire de déployer le certificat à plusieurs endroits. Les emplacements courants incluent les serveurs web (tels que Nginx, Apache et IIS), Application Load Balancer (ALB), CDN, WAF et Cloud-native API Gateway.
Les deux situations suivantes sont courantes :
Les visiteurs accèdent directement au serveur web
Si les requêtes ne transitent pas par des services tels que CDN ou WAF et atteignent directement votre serveur, il vous suffit de déployer le certificat sur le service web de ce serveur.
Les requêtes transitent par des services tels que CDN et WAF
Si les requêtes transitent par des services tels que CDN et WAF, vous devez déployer un certificat au point d'entrée de chaque étape pour permettre l'utilisation de HTTPS. Prenons l'exemple du chemin « visiteur → CDN → WAF → équilibreur de charge → votre serveur ». Si vous déployez un certificat uniquement sur CDN, seule l'étape entre le visiteur et CDN utilise HTTPS. Les étapes entre CDN et votre serveur continuent d'utiliser HTTP. Pour utiliser HTTPS sur l'ensemble du chemin, du visiteur à votre serveur, déployez un certificat à chacun des quatre emplacements.
Identifier votre scénario de déploiement
Après avoir confirmé l'emplacement de déploiement du certificat, utilisez le tableau suivant pour identifier le scénario correspondant à chaque emplacement. Accédez ensuite à la section appropriée pour choisir une méthode de déploiement.
|
Scénario |
Référence |
|
Le nom de domaine résout vers un service Alibaba Cloud géré, ou son enregistrement CNAME pointe vers un tel service, et ce service fournit un accès HTTPS. Parmi les exemples figurent CDN, Dynamic Route for CDN (DCDN), WAF, Anti-DDoS Pro et Anti-DDoS Premium, les équilibreurs de charge (ALB, NLB et CLB), Object Storage Service (OSS), Cloud Web Hosting, Cloud-native API Gateway et Container Service for Kubernetes (ACK). |
Scénario 1 : Déployer le certificat sur un service Alibaba Cloud |
|
Le nom de domaine résout directement vers l'adresse IP publique d'un serveur, et HTTPS est fourni par un service web installé sur ce serveur, tel que Nginx, Apache, Tomcat ou IIS. Ce scénario s'applique aux instances ECS Alibaba Cloud, aux instances Simple Application Server, aux hôtes cloud sur d'autres plateformes et aux serveurs de votre propre centre de données. |
Scénario 2 : Déployer le certificat sur un serveur web autogéré |
|
Le nom de domaine résout vers un service sur une plateforme cloud tierce telle que Tencent Cloud, AWS ou Huawei Cloud, ou son enregistrement CNAME pointe vers un tel service. Le service peut être un CDN, un WAF ou un équilibreur de charge, et il fournit un accès HTTPS. |
Scénario 3 : Déployer le certificat sur un service d'une plateforme cloud tierce |
|
Scénario mixte. Par exemple, le nom de domaine résout vers CDN, CDN transfère les requêtes vers votre serveur Nginx autogéré et vous souhaitez utiliser HTTPS sur l'ensemble du chemin, du visiteur au serveur. |
Effectuez un déploiement distinct pour chaque scénario impliqué et déployez un certificat à chaque emplacement. |
Si vous avez besoin d'aide pour le déploiement des certificats, Contactez votre gestionnaire de compte.
Scénario 1 : Déployer le certificat sur un service Alibaba Cloud
Si le certificat doit être déployé sur un service Alibaba Cloud géré tel que CDN, WAF ou un équilibreur de charge, vous disposez de deux options : pousser le certificat en un clic depuis la console Certificate Management Service, ou vous connecter à la console du service cible pour télécharger le certificat. Nous recommandons la première option, car elle vous évite de télécharger et d'importer manuellement les fichiers de certificat.
Méthode 1 : Déployer en un clic depuis la console Certificate Management Service (recommandé)
Dans la console Certificate Management Service, utilisez la fonctionnalité cloud product deployment pour pousser le certificat vers les produits cloud répertoriés dans le tableau suivant en un clic. Vous n'avez pas besoin de télécharger ni d'importer manuellement les fichiers de certificat. Pour plus d'informations, consultez la rubrique Déployer des certificats SSL sur des services cloud.
Si votre produit n'est pas pris en charge par la fonctionnalité « cloud product deployment », reportez-vous à la documentation du produit pour obtenir des instructions de déploiement. Les produits qui prennent en charge le push en un clic sont répertoriés dans le tableau ci-dessous.
« Update existing certificate » dans le tableau ci-dessous fait référence au scénario où un certificat est déjà déployé sur un produit cloud et que vous devez le remplacer.
Certains produits cloud prennent en charge le déploiement en un clic uniquement lors de la mise à jour d'un certificat existant. Pour un déploiement initial, vous devez effectuer la configuration dans la console du produit cloud. Pour plus d'informations, consultez la rubrique Méthode 2 : Déployer dans la console du produit cloud. Pour connaître le statut de prise en charge de chaque produit cloud, consultez la colonne Applicable condition du tableau suivant.
Produit cloud | Scénario de configuration du certificat | Condition applicable |
Container Service for Kubernetes (ACK) | Mettre à jour les certificats AlbConfig et les certificats Secret dans les clusters ACK gérés et dédiés Important Ne modifiez pas manuellement un Secret dans ACK. Le système crée automatiquement un nouveau Secret. | Update existing certificate |
Serverless App Engine - routage de passerelle | Configurer HTTPS comme protocole de transfert pour le routage de passerelle (ALB et CLB) | Update existing certificate |
Function Compute (FC) | Scénario de fonction HTTP | Update existing certificate |
Microservices Engine - passerelle cloud-native | Scénario de routage de passerelle cloud-native | Update existing certificate |
Cloud-native API Gateway | Accéder à une API via HTTPS avec un nom de domaine | Update existing certificate |
Global Accelerator (GA) | Accélérer en toute sécurité l'accès aux noms de domaine HTTPS | Update existing certificate |
| Transférer les requêtes via HTTPS à l'aide d'un écouteur HTTPS (certificat serveur) Remarque Pour déployer un certificat client, consultez la rubrique Chiffrement HTTPS de bout en bout. | Update existing certificate |
Content Delivery Network (CDN) | Accélération sécurisée HTTPS | Initial deployment, Update existing certificate |
Dynamic Route for CDN (DCDN) | Accélération sécurisée HTTPS | Initial deployment, Update existing certificate |
Edge Security Acceleration (ESA) | Accélération sécurisée HTTPS | Update existing certificate |
Object Storage Service (OSS) | Accéder à OSS via HTTPS Remarque Si votre nom de domaine utilise l'accélération CDN, remplacez le certificat dans la console CDN. | Update existing certificate |
Web Application Firewall (WAF) | Scénario d'accès CNAME | Update existing certificate |
Anti-DDoS Pro et Anti-DDoS Premium | Accès par nom de domaine pour Anti-DDoS Pro et Anti-DDoS Premium | Update existing certificate |
Platform for AI (PAI) | Service de modèle Elastic Algorithm Service (EAS) : utiliser un nom de domaine personnalisé pour une passerelle dédiée | Update existing certificate |
Méthode 2 : Déployer dans la console du produit cloud
Si un produit cloud ne prend pas en charge le déploiement en un clic, ou si vous souhaitez effectuer la configuration côté produit cloud, téléchargez les fichiers de certificat depuis la liste des certificats. Connectez-vous ensuite à la console du produit cloud pour importer et configurer le certificat. Le tableau suivant répertorie la documentation de déploiement pour chaque produit cloud.
Produit cloud | Scénario de configuration du certificat | Documentation de déploiement |
Container Service for Kubernetes (ACK) | Mettre à jour les certificats AlbConfig et les certificats Secret dans les clusters ACK gérés et dédiés Important Ne modifiez pas manuellement un Secret dans ACK. Le système crée automatiquement un nouveau Secret. | |
Serverless App Engine - routage de passerelle | Configurer HTTPS comme protocole de transfert pour le routage de passerelle (ALB et CLB) | |
Function Compute (FC) | Scénario de fonction HTTP | |
Microservices Engine - passerelle cloud-native | Scénario de routage de passerelle cloud-native | |
Cloud-native API Gateway | Accéder à une API via HTTPS avec un nom de domaine | |
Global Accelerator (GA) | Accélérer en toute sécurité l'accès aux noms de domaine HTTPS | |
| Transférer les requêtes via HTTPS à l'aide d'un écouteur HTTPS (certificat serveur) Remarque Pour déployer un certificat client, consultez la rubrique Chiffrement HTTPS de bout en bout. | |
Content Delivery Network (CDN) | Accélération sécurisée HTTPS | |
Dynamic Route for CDN (DCDN) | Accélération sécurisée HTTPS | |
Edge Security Acceleration (ESA) | Accélération sécurisée HTTPS | |
Object Storage Service (OSS) | Accéder à OSS via HTTPS Remarque Si votre nom de domaine utilise l'accélération CDN, remplacez le certificat dans la console CDN. | |
Web Application Firewall (WAF) | Scénario d'accès CNAME |
|
Anti-DDoS Pro et Anti-DDoS Premium | Accès par nom de domaine pour Anti-DDoS Pro et Anti-DDoS Premium | |
Platform for AI (PAI) | Service de modèle Elastic Algorithm Service (EAS) : utiliser un nom de domaine personnalisé pour une passerelle dédiée |
Scénario 2 : Déployer le certificat sur un serveur web autogéré
Si HTTPS est fourni par un service web installé sur votre serveur, vous devez déployer le certificat sur ce service web. Deux méthodes sont disponibles :
Déploiement automatique : vous effectuez la configuration dans la console Certificate Management Service, et la console déploie le certificat sur votre serveur. Vous n'avez pas besoin de vous connecter à chaque serveur. Cette méthode prend en charge les instances ECS Alibaba Cloud, les instances Simple Application Server, les serveurs d'autres fournisseurs cloud et les serveurs locaux autogérés. Les conditions diffèrent selon le type de serveur.
Déploiement manuel : vous téléchargez les fichiers de certificat, vous vous connectez au serveur et vous modifiez la configuration du service web. Cette méthode prend en charge tous les serveurs. Elle constitue également l'option polyvalente lorsque les conditions de déploiement automatique ne sont pas remplies, par exemple lorsque le certificat est un certificat conforme aux normes de cryptographie chinoises (SM2).
Les tutoriels de déploiement sont organisés par type de serveur web (tel que Nginx, Apache, Tomcat et IIS) et par système d'exploitation. Par conséquent, commencez par confirmer quel service web s'exécute sur votre serveur. Vous pouvez vérifier la valeur de l'en-tête de réponse Server dans les outils de développement de votre navigateur, ou vous connecter au serveur et vérifier quel processus écoute sur le port 80 ou 443. Pour plus d'informations, consultez la rubrique Comment afficher le type de serveur web ?.
Méthode 1 : Déployer automatiquement depuis la console
Vous effectuez la configuration dans la console Certificate Management Service, et la console déploie le certificat sur votre serveur. Vous n'avez pas besoin de vous connecter à chaque serveur. Cela améliore l'efficacité du déploiement et réduit les risques de configuration. Deux options sont disponibles, selon l'emplacement de votre serveur. Choisissez une option en fonction des serveurs pris en charge et des conditions :
Méthode de déploiement | Serveurs pris en charge | Conditions |
Déployer des certificats SSL sur ECS et Simple Application Server | Alibaba Cloud ECS, Simple Application Server | Prend en charge uniquement les certificats SSL standard (RSA/ECC). |
Déploiement sur serveur : Déployer un certificat SSL sur un serveur cloud ou local | Serveurs d'autres fournisseurs cloud et serveurs locaux autogérés (Alibaba Cloud ECS est également pris en charge) |
|
Méthode 2 : Se connecter au serveur et déployer manuellement
Téléchargez les fichiers de certificat, connectez-vous au serveur et modifiez la configuration du service web. Cette méthode prend en charge tous les serveurs. Elle constitue également la seule façon de déployer un certificat SSL conforme aux normes de cryptographie chinoises. Choisissez un tutoriel en fonction de votre type de serveur web et de votre système d'exploitation.
Système d'exploitation du serveur | Tutoriel de déploiement |
Linux | Installer un certificat SSL sur un serveur Nginx ou Tengine (Linux) |
Installer un certificat SSL sur une application Spring Boot (Linux) | |
Windows | |
Scénario 3 : Déployer le certificat sur un service d'une plateforme cloud tierce
Si le certificat doit être déployé sur un service cloud sur Tencent Cloud, AWS ou Huawei Cloud, vous pouvez effectuer le déploiement dans la console Certificate Management Service. Les plateformes et services suivants sont pris en charge :
Tencent Cloud : Content Delivery Network (CDN), Web Application Firewall (WAF) et Classic Load Balancer (CLB). AWS : Amazon CloudFront (CDN) et équilibreurs de charge (ALB, NLB et CLB).
Huawei Cloud : Content Delivery Network (CDN) et Elastic Load Balance (ELB).
Pour plus d'informations, consultez la rubrique Déploiement multi-cloud : Déployer des certificats sur des plateformes cloud tierces.
Pour les services qui ne figurent pas dans la liste ci-dessus, reportez-vous à la documentation officielle du fournisseur cloud :
Tencent Cloud : Guide de déploiement des certificats SSL
Huawei Cloud : Guide d'utilisation de la gestion des certificats SSL
FAQ
Comment télécharger un certificat racine ?
Pour télécharger le certificat racine d'une marque de certificat, consultez la rubrique Télécharger et installer des certificats racines.
Que faire si la chaîne de certificats est incomplète ou si un certificat intermédiaire est manquant ?
Si le certificat racine ou un certificat intermédiaire sur le client est manquant ou expiré, consultez la rubrique Comment résoudre une chaîne de certificats SSL incomplète pour un site web pour télécharger et installer le certificat manquant. Essayez ensuite d'accéder à nouveau au site web.
Que faire si le message « One or more intermediate certificates in the certificate chain are missing » apparaît lors du déploiement d'un certificat ?
Ce message peut apparaître lors du déploiement d'un certificat SSL sur certains systèmes de serveur, tels que IIS sur Windows Server 2008 R2. Installez le certificat racine ou le certificat intermédiaire manquant sur le serveur.