Todos os produtos
Search

Este produto

    Certificate Management Service:Implantar certificados SSL em cloud services

    Central de documentação

    Certificate Management Service:Implantar certificados SSL em cloud services

    Última atualização: Sep 15, 2026

    Este tópico descreve como criar uma tarefa para implantar certificados SSL nos serviços da Alibaba Cloud, individualmente ou em massa, em horário agendado.

    Antes de começar

    • Este tópico não aborda o Elastic Compute Service (ECS) nem o Simple Application Server. Para implantar um certificado em uma instância do ECS ou do Simple Application Server, consulte Update an existing certificate on an Alibaba Cloud ECS instance or a Simple Application Server instance.

    • Você deve ter adquirido e solicitado um certificado pelo SSL Certificates Service, e o Status deve ser Issued. Para adquirir e solicitar um certificado, consulte Purchase a paid certificate e Apply for a certificate.

    • O alias do certificado SSL não pode conter caracteres chineses. A figura a seguir mostra um exemplo.

    • Verifique o status do certificado e confirme se ele corresponde aos nomes de domínio de destino.

      Verificar status do certificado e correspondência de domínio

      Na página SSL Certificate Management V2.0, localize o certificado desejado e valide as informações abaixo:

      1. Certificate Status: Certifique-se de que o status é Issued. Caso esteja como About to Expire ou Expired, você precisará renew the SSL certificate.

      2. Bound Domains: Garanta que o certificado cubra todos os nomes de domínio que você pretende proteger. Domínios não cobertos exibirão um aviso de segurança aos usuários durante o acesso via HTTPS. Para adicionar ou alterar nomes de domínio, consulte Add and replace domain names.

        Regras de correspondência de nomes de domínio

        Os Bound Domains de um certificado podem incluir múltiplos domínios exatos e curingas. As regras de correspondência são:

        • Nome de domínio exato: Cobre apenas o domínio especificado.

          • example.com cobre somente example.com.

          • www.example.com abrange exclusivamente www.example.com.

        • Nome de domínio curinga: Abrange apenas subdomínios de primeiro nível.

          • *.example.com inclui subdomínios de primeiro nível, como www.example.com e a.example.com.

          • *.example.com não cobre o domínio raiz example.com nem subdomínios multiníveis, como a.b.example.com.

        Nota

        Para abranger um subdomínio multinível, o campo Bound Domains deve incluir esse nome de domínio específico (por exemplo, a.b.example.com) ou um domínio curinga correspondente (como *.b.example.com).

    • Para criar uma tarefa de implantação, um usuário RAM precisa receber a política de sistema AliyunYundunCertFullAccess ou uma política personalizada que inclua a permissão yundun-cert:CreateDeploymentJob.

    • Para obter IDs de recursos de cloud services por meio de chamadas de API, o usuário RAM também necessita da permissão yundun-cert:ListWorkerResource para executar a operação ListCloudResources.

    Limitações

    Nota

    • Caso seu product não seja compatível com o recurso "cloud product deployment", consulte a documentação específica dele para obter instruções de implantação. Os produtos que suportam envio com um clique estão listados na tabela abaixo.

    • A opção "Update existing certificate" na tabela refere-se ao cenário em que um certificado já está implantado em um cloud product e precisa ser substituído.

    Cloud product

    Cenário de configuração de certificado

    Condição aplicável

    Container Service for Kubernetes (ACK)

    Atualizar certificados AlbConfig e Secret em clusters gerenciados e dedicados do ACK

    Importante

    Não modifique manualmente um Secret no ACK. O sistema cria um novo Secret automaticamente.

    Update existing certificate

    Serverless App Engine - roteamento de gateway

    Configurar HTTPS como protocolo de encaminhamento para roteamento de gateway (ALB e CLB)

    Update existing certificate

    Function Compute (FC)

    Cenário de função HTTP

    Update existing certificate

    Microservices Engine - gateway nativo da nuvem

    Cenário de roteamento de gateway nativo da nuvem

    Update existing certificate

    Cloud-native API Gateway

    Acessar uma API via HTTPS com nome de domínio

    Update existing certificate

    Global Accelerator (GA)

    Acelerar o acesso a nomes de domínio HTTPS com segurança

    Update existing certificate

    • Application Load Balancer (ALB)

    • Network Load Balancer (NLB)

    Encaminhar solicitações via HTTPS usando um listener HTTPS (certificado de servidor)

    Nota

    Para implantar um certificado de cliente, consulte End-to-end HTTPS encryption.

    Update existing certificate

    Content Delivery Network (CDN)

    Aceleração segura HTTPS

    Implantação inicial, Update existing certificate

    Dynamic Route for CDN (DCDN)

    Aceleração segura HTTPS

    Implantação inicial, Update existing certificate

    Edge Security Acceleration (ESA)

    Aceleração segura HTTPS

    Update existing certificate

    Object Storage Service (OSS)

    Acessar o OSS via HTTPS

    Nota

    Se o seu nome de domínio usa aceleração CDN, substitua o certificado no console do CDN.

    Update existing certificate

    Web Application Firewall (WAF)

    Cenário de acesso CNAME

    Update existing certificate

    Anti-DDoS Pro e Anti-DDoS Premium

    Acesso por nome de domínio para Anti-DDoS Pro e Anti-DDoS Premium

    Update existing certificate

    Platform for AI (PAI)

    Serviço de modelo Elastic Algorithm Service (EAS): usar nome de domínio personalizado para gateway dedicado

    Update existing certificate

    Procedimento

    Etapa 1: Adquirir cota de implantação

    Nota

    A cota de implantação é consumida apenas quando você implanta certificados do tipo Uploaded. Se o seu certificado não for do tipo Uploaded, pule para Step 2: Check authorizations.

    • Se você não tiver cota de implantação suficiente, adquira um pacote de implantação. .

    • Não há consumo de cota de implantação para certificados que não sejam do tipo Uploaded, nem para certificados compartilhados entre contas da Alibaba Cloud pertencentes à mesma pessoa física ou jurídica verificada. Em caso de falha na implantação, a cota consumida será reembolsada.

    Etapa 2: Verificar autorizações

    Nota

    Se a sua tarefa de implantação não envolver o ACK, pule para Step 3: Deploy the certificate to cloud service resources.

    Antes de implantar um certificado no Container Service for Kubernetes (ACK), faça login no console do ACK com sua conta da Alibaba Cloud e conceda à função RAM AliyunCASDefaultRole as permissões necessárias para gerenciar o cluster de destino. Caso contrário, o console do Certificate Management Service não conseguirá descobrir o namespace do cluster.

    1. Acesse a página Authorization Management no console do ACK. Na aba RAM Roles, insira AliyunCASDefaultRole e clique em Modify Permissions.

    2. Na aba Permission Management, conceda a permissão O&M Engineer para o cluster de destino.

      image

    Etapa 3: Implantar o certificado

    Implantação única

    1. Se esta for a primeira vez que você utiliza o service de implantação, siga as instruções na tela para conceder as permissões necessárias antes de criar tarefas de implantação. Para mais informações, consulte Grant permissions to access cloud resources.

    2. Faça login no console do Certificate Management Service.

    3. No painel de navegação à esquerda, escolha Certificate Management > SSL Certificate Management V2.0.

    4. Na página SSL Certificate Management, clique na aba correspondente ao certificado. Na lista de certificados, localize aquele que deseja implantar e clique em Deploy na coluna Actions.

      Certificados emitidos pela Private CA aparecem na aba Uploaded Certificates, onde é possível gerenciá-los.

    5. Na página Create Task, durante a etapa Select Resource, selecione ou ajuste os cloud services e recursos, e então clique em Preview and Submit.

      • O sistema identifica automaticamente os recursos de cloud services que já possuem um certificado SSL configurado. Na caixa de diálogo de correspondência automática, clique em OK. Os recursos correspondentes serão adicionados à área Selected Resources. Depois, ajuste a seleção conforme necessário.

        image

      • O sistema descobre e recupera automaticamente todos os recursos dos seus cloud services. Caso não encontre um recurso de destino, verifique o seguinte:

        • Na seção Total Resources, confirme se a sincronização de recursos foi concluída. Se os recursos ainda estiverem sendo sincronizados (exibidos em cinza), aguarde a finalização do processo. O tempo necessário varia conforme a quantidade de recursos nos seus cloud services.

          image

        • Se mesmo após a conclusão da sincronização o recurso não aparecer, verifique se você atende aos prerequisites de implantação.

    6. No painel Task Preview, revise os detalhes do certificado e dos recursos. Se tudo estiver correto, clique em Submit.

      A página de pré-visualização exibe a quantidade de certificados correspondentes para cada cloud service e a cota de implantação que será consumida. Uma contagem de 0 indica que o certificado não corresponde ao recurso, resultando em falha na implantação. Revise sua seleção com atenção.

      7. Implantação em massa

      1. Caso seja a primeira vez que você usa o service de implantação, siga as orientações na tela para conceder as permissões exigidas antes de criar tarefas. Para mais detalhes, consulte Grant permissions to access cloud resources.

      2. Faça login no console do Certificate Management Service.

      3. No painel de navegação à esquerda, escolha Deployment Management > Deployment to Cloud Services.

      4. Na página Deployment to Cloud Services, clique em Create Task e implante os certificados SSL.

        1. Na etapa Configure Basic Information, configure o nome da tarefa, o contato e o horário de implantação. Em seguida, clique em Next.

          Parâmetro

          Descrição

          Task Name

          Insira um nome personalizado para a tarefa de implantação.

          Contact

          Selecione os contatos que receberão notificações sobre a tarefa de implantação. É possível adicionar até 10 contatos.

          Deployment Time

          • Deploy Now: Implanta os certificados nos cloud services imediatamente.

          • Custom Time: Agenda a execução da tarefa de implantação para um horário específico.

        2. Durante a etapa Select Certificate, selecione os certificados SSL correspondentes aos recursos na nuvem. Depois, clique em Next.

          • Os certificados emitidos pela Private CA estão listados na aba The ID of the certificate in Alibaba Cloud. You must upload a certificate first., onde você pode selecioná-los.

          • Cada tarefa de implantação aceita apenas certificados de um único tipo.

        3. Na etapa Select Resource, selecione ou ajuste os cloud services e recursos, e clique em Preview and Submit.

          Nota

          A implantação em massa não é suportada para listeners do Server Load Balancer (SLB) vinculados a múltiplos certificados de servidor.

          • O sistema corresponde automaticamente recursos de cloud services que já possuem um certificado SSL configurado. Na caixa de diálogo de correspondência automática, clique em OK. Os recursos encontrados serão adicionados à área Selected Resources. Faça ajustes na seleção se necessário.

            image

          • O sistema descobre e recupera automaticamente todos os recursos dos seus cloud services. Se não localizar um recurso alvo, verifique os pontos abaixo:

            • Na seção The total resource requests for all replicated pods exceed the recommended resource requests (4 vCores and 8 GB of memory). This may lead to quick consumption of resource plans., confirme se a sincronização de recursos terminou. Caso ainda estejam sincronizando (status em cinza), aguarde a conclusão. A duração depende da quantidade de recursos existentes.

              image

            • Se o recurso continuar ausente após o fim da sincronização, verifique se o seu cenário suporta a implantação inicial de certificados. Para mais informações, consulte Before you begin.

        4. Revise os detalhes do certificado e dos recursos no painel Task Preview. Estando tudo correto, clique em Submit.

          A página de pré-visualização mostra quantos certificados correspondem a cada cloud service e qual cota de implantação será usada. Uma contagem igual a 0 significa que não houve correspondência entre certificados e recursos, o que causará falha na implantação. Analise suas seleções cuidadosamente.

        Operações relacionadas

        Visualizar detalhes da tarefa de implantação

        1. Na página Deployment to Cloud Services, localize a tarefa de implantação desejada e clique em Details na coluna Actions.

        2. Na página de detalhes da tarefa, visualize o status de implantação de cada recurso de instância. Se houver falha na implantação de algum recurso, verifique a razão na coluna Actions e tome as medidas adequadas.

          Caso não consiga identificar o motivo específico da falha, entre em contato com seu gerente de conta para obter assistência.

        Reverter uma tarefa de implantação

        Importante

        A cota de implantação não é reembolsada após uma reversão bem-sucedida.

        Após a implantação bem-sucedida de um certificado, caso perceba que o certificado errado foi aplicado ou precise desfazer a operação por outro motivo, reverta para o estado anterior à implantação:

        1. Na página Deployment to Cloud Services, encontre a tarefa de implantação alvo e clique em Details na coluna Actions.

        2. Na página de detalhes da tarefa, clique no cloud service, localize o recurso de instância desejado e clique em Roll Back na coluna Actions.

          Após uma reversão bem-sucedida, o status da tarefa muda para Rolled Back.

        Excluir uma tarefa de implantação

        Importante

        Tarefas excluídas não podem ser recuperadas. Proceda com cautela.

        Na página Deployment to Cloud Services, localize a tarefa de implantação desejada e clique em Delete na coluna Actions. Também é possível selecionar várias tarefas de implantação e clicar em Delete na parte inferior da lista.

        FAQ

        Implantação de certificados entre contas

        Não é possível implantar certificados SSL da Alibaba Cloud diretamente entre contas diferentes.

        • Quando múltiplas contas pertencem à mesma identidade verificada, utilize o recurso de compartilhamento de certificados para implantá-los entre contas sem custo adicional. Para mais informações, consulte Upload, synchronize, and share SSL certificates.

        • Se as contas pertencerem a identidades verificadas distintas, baixe o certificado da conta de source e faça o upload e a implantação manualmente na conta de destino.

        A implantação ativa o HTTPS automaticamente?

        A implantação de um certificado pelo console do SSL Certificates Service apenas o envia para o cloud service de destino. Ainda é necessário validar a implantação no console de gerenciamento desse service.

        Recursos de cloud services exibidos como 0

        Ao criar uma tarefa de implantação, o sistema identifica e recupera automaticamente todos os recursos dos seus cloud services. Se não encontrar o recurso desejado, verifique os itens a seguir:

        • Na seção Total Resources, verifique se a sincronização de recursos foi concluída. Se os recursos estiverem sendo sincronizados (status em cinza, conforme a figura a seguir), aguarde a conclusão. A duração da sincronização depende da quantidade de recursos no cloud service.

          image

        • Caso o recurso não seja encontrado após o término da sincronização, verifique se os requisitos de initial configuration para implantação de certificados foram atendidos. Caso contrário, implante o certificado diretamente no console de gerenciamento do cloud service.

        Após a emissão de um certificado SSL, basta configurar um registro A apontando para um endereço IP público para ativar o HTTPS?

        Não. Configurar um registro A apenas resolve o nome de domínio para um endereço IP; isso não ativa a criptografia HTTPS. Depois que um certificado SSL é emitido, você também precisa concluir as etapas a seguir para acessar seu site via HTTPS:

        • Implantar o certificado: Instale o certificado SSL no seu servidor web (como Nginx ou Apache) ou nos serviços da Alibaba Cloud, garantindo que o arquivo do certificado e a chave privada estejam configurados corretamente.

        Como implantar um certificado SSL emitido no API Gateway e verificar se o HTTPS está funcionando?

        Etapas de implantação:

        1. Faça login no console do API Gateway e vincule o certificado SSL emitido ao service ou grupo HTTPS correspondente.

        2. Aguarde a configuração entrar em vigor (geralmente leva alguns minutos).

        Verificação:

        Utilize o comando curl para confirmar se o HTTPS está operacional:

        curl -v https://<domain-name>

        Verifique os seguintes pontos na resposta:

        • A mensagem SSL certificate verify ok aparece, indicando que o certificado foi verificado.

        • Detalhes do certificado (como subject e expire date) são exibidos — confirme se o certificado corresponde ao esperado.

        • O código de status HTTP é normal (como 200 ou o código de status de negócio esperado), indicando que o service está acessível.

        Se todas as condições acima forem atendidas, o certificado SSL foi implantado com sucesso no API Gateway e o HTTPS está funcionando corretamente.