Certificate Management Service:Instalar um certificado SSL em um servidor Apache (Linux)

Pré-requisitos

Antes de começar, verifique se você tem:

• Um certificado SSL válido emitido por uma autoridade certificadora (CA) confiável. Se o certificado estiver prestes a expirar ou já tiver expirado, renove-o antes de prosseguir.

• Um certificado que cubra todos os domínios a proteger. Para adicionar ou alterar domínios vinculados, compre um novo certificado ou atualize os domínios vinculados.

• Uma conta root ou com privilégios sudo no servidor.

• Um registro DNS para o domínio que resolva para o endereço IP público do servidor.

• Resolução DNS: O nome de domínio resolve para o endereço IP público do servidor.

Regras de cobertura de domínio:

Etapa 1: Preparar os arquivos de certificado

1. Acesse a página Gerenciamento de Certificados SSL. Na coluna Actions do certificado, clique em Download Certificate. Na aba Download, selecione Apache como Server Type e baixe o pacote.

2. Extraia o pacote baixado. Ele contém dois ou três arquivos, dependendo de como a Solicitação de Assinatura de Certificado (CSR) foi gerada:

   Nota

   Se você gerou a CSR com OpenSSL ou Keytool, a chave privada foi salva apenas na máquina local e não está incluída no pacote baixado. Caso a chave privada seja perdida, o certificado não poderá ser usado. Compre um novo certificado e gere uma nova CSR e chave privada.

   Cenário	Arquivos no pacote	Ação
   Chave gerenciada pelo sistema (CSR gerada pela Alibaba Cloud)	<bound_domain_name>_public.crt, <bound_domain_name>_chain.crt, <bound_domain_name>.key	Armazene todos os três arquivos em um local seguro.
   Chave autogerenciada (CSR gerada com OpenSSL ou Keytool)	Apenas <bound_domain_name>_public.crt, <bound_domain_name>_chain.crt	Implante estes arquivos juntamente com o arquivo de chave privada salvo localmente ao gerar a CSR.

3. Faça upload do arquivo de certificado, do arquivo de cadeia de certificados e do arquivo de chave privada para um diretório seguro no servidor, como /etc/ssl/cert.

   Nota

   Utilize uma ferramenta de login remoto, como PuTTY, Xshell ou WinSCP, para fazer upload dos arquivos. Se o servidor for uma instância do Elastic Compute Service (ECS) da Alibaba Cloud, consulte Fazer upload ou download de arquivos.

Etapa 2: Abrir a porta 443

Certifique-se de que o firewall e o grupo de segurança do servidor permitam tráfego de entrada na porta 443.

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

sudo ufw allow 443/tcp

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

sudo yum install -y iptables-services
sudo service iptables save

sudo apt-get install -y iptables-persistent
sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

Etapa 3: Instalar o certificado no Apache

As etapas de configuração variam conforme a versão do Apache. Verifique a versão primeiro e siga as instruções correspondentes.

httpd -v

apache2 -v

httpd -M | grep 'ssl_module'

apachectl -M | grep 'ssl_module'

sudo yum install -y mod_ssl
# For RHEL/CentOS 8.0 and later:
sudo dnf install -y mod_ssl

sudo a2enmod ssl

# Append the certificate chain to the server certificate to create a complete chain file.
cat domain_name_public.crt domain_name_chain.crt > domain_name_fullchain.pem

vim /etc/httpd/conf.d/ssl.conf

<VirtualHost *:443>

    # Replace example.com with the domain name you want to secure.
    ServerName example.com

    # Certificate file. Use the path to the combined fullchain file.
    SSLCertificateFile /etc/ssl/cert/domain_name_fullchain.pem

    # Private key file. Replace with the path to your private key file.
    SSLCertificateKeyFile /etc/ssl/cert/domain_name.key

    # Other configurations
    # ...

</VirtualHost>

vim /etc/httpd/conf.d/ssl.conf

<VirtualHost *:443>

    # Replace example.com with the domain name bound to your certificate.
    ServerName example.com

    # Certificate file. Replace with the path to your certificate file.
    SSLCertificateFile /etc/ssl/cert/domain_name_public.crt

    # Certificate chain file (specified separately). Replace with the actual path.
    SSLCertificateChainFile /etc/ssl/cert/domain_name_chain.crt

    # Private key file. Replace with the path to your private key file.
    SSLCertificateKeyFile /etc/ssl/cert/domain_name.key

    # Other configurations
    # ...

</VirtualHost>

sudo httpd -t

sudo apache2ctl -t

# Reload (graceful, recommended):
sudo systemctl reload httpd

# Restart (force restart):
sudo systemctl restart httpd

# Reload (graceful, recommended):
sudo systemctl reload apache2

# Restart (force restart):
sudo systemctl restart apache2

Etapa 4: Verificar a instalação

Abra https://yourdomain em um navegador (substitua yourdomain pelo domínio real). Um ícone de cadeado na barra de endereços confirma que o certificado está ativo.

Se nenhum ícone de cadeado aparecer ou se houver erro de acesso, limpe o cache do navegador ou tente novamente no modo anônimo.

A partir do Chrome 117, o ícone foi substituído por . Clique neste ícone para visualizar os detalhes do certificado.

Entrando em produção

Aplique estas práticas antes de implantar em produção:

• Use uma conta de serviço não root: Crie um usuário de sistema dedicado e com poucos privilégios para o Apache. Nunca execute o servidor sob uma conta root ou de administrador.

  Nota

  Considere terminar o SSL na camada de balanceador de carga. Implante o certificado em um Server Load Balancer (SLB), que lida com HTTPS e encaminha o tráfego HTTP descriptografado para os servidores de back-end.

• Mantenha credenciais fora do código: Nunca codifique senhas ou chaves privadas diretamente nos arquivos de configuração. Injete credenciais por meio de variáveis de ambiente, HashiCorp Vault ou um serviço de gerenciamento de chaves na nuvem.

• Redirecione HTTP para HTTPS: Configure o Apache para redirecionar todo o tráfego HTTP para HTTPS, evitando ataques man-in-the-middle.

• Desative protocolos TLS legados: Na configuração do Apache, desative SSLv3, TLSv1.0 e TLSv1.1. Ative apenas TLSv1.2 e TLSv1.3.

• Monitore e renove antes da expiração: Após a implantação, ative o monitoramento de domínio. A Alibaba Cloud verifica a validade do certificado e envia lembretes de renovação antes da expiração. Consulte Comprar e ativar o monitoramento de nome de domínio público.

Perguntas frequentes