Certificate Management Service：Python Flask應用程式安裝SSL認證（Linux）

適用範圍

開始配置前，確保滿足以下條件：

步驟一：準備SSL認證

1. 進入SSL認證管理頁面，在目標認證操作列單擊更多進入認證詳情頁面，然後在下載頁簽中下載伺服器類型為其他的認證。

2. 解壓下載的認證壓縮包：

   • 若同時包含認證檔案（.pem）和私密金鑰檔案（.key），請妥善儲存上述檔案，後續部署時均需使用。

   • 若僅包含認證檔案（.pem），不含私密金鑰檔案（.key），需配合您本地儲存的私密金鑰檔案一起部署。

     說明

     若申請認證時使用 OpenSSL、Keytool 等工具產生 CSR 檔案，私密金鑰檔案僅儲存在您本地，下載的認證包中不包含私密金鑰。如私密金鑰遺失，認證將無法使用，需重新購買正式認證並產生CSR和私密金鑰。

步驟二：配置系統與網路環境

確保安全性群組和防火牆允許外部流量訪問。

1. 在伺服器終端執行以下命令，檢測443連接埠的開放情況：

   RHEL/CentOS

   command -v nc > /dev/null 2>&1 || sudo yum install -y nc
   # 請將以下的 <當前伺服器的公網 IP> 替換為當前伺服器的公網 IP
   sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <當前伺服器的公網 IP> 443

   如果輸出 Ncat: Connected to <當前伺服器公網 IP>:443，則表明443連接埠已開放。否則需在安全性群組和防火牆中開放443連接埠。

   Debian/Ubuntu

   command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
   # 請將以下的 <當前伺服器的公網 IP> 替換為當前伺服器的公網 IP
   sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <當前伺服器的公網 IP> 443

   若輸出 Connection to <當前伺服器公網 IP> port [tcp/https] succeeded! 或 [<當前伺服器公網 IP>] 443 (https) open，則表明443連接埠已開放。否則需在安全性群組和防火牆中開放443連接埠。

2. 在安全性群組配置開放443連接埠。

   重要

   若您的伺服器部署在雲平台，請確保其安全性群組已開放 443 連接埠 (TCP)，否則外部無法訪問服務。以下操作以阿里雲 ECS 為例，其他雲平台請參考其官方文檔。

   進入Elastic Compute Service執行個體，單擊目標執行個體名稱進入執行個體詳情頁面，請參考添加安全性群組規則，在安全性群組中添加一條授權策略為允許、協議類型為 TCP、目的連接埠範圍為 HTTPS(443)、授權對象為任何位置(0.0.0.0/0)的規則。

3. 在防火牆中開放443連接埠。

   執行以下命令，識別系統當前的防火牆服務類型：

   if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
       echo "firewalld"
   elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
       echo "ufw"
   elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
       echo "nftables"
   elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
       echo "iptables"
   elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
       echo "iptables"
   else
       echo "none"
   fi

   若輸出為 none，則無需進一步操作。否則，請根據輸出的類型（firewalld、ufw、nftables、iptables），執行以下命令開放 443 連接埠：

   firewalld

   sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

   ufw

   sudo ufw allow 443/tcp

   nftables

   sudo nft add table inet filter 2>/dev/null
   sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
   sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

   iptables

   sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

   為避免 iptables 規則在系統重啟後失效，請執行以下命令持久化 iptables 規則：

   RHEL/CentOS

   sudo yum install -y iptables-services
   sudo service iptables save

   Debian/Ubuntu

   sudo apt-get install -y iptables-persistent
   sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

步驟三：在Flask網站安裝認證

1. 執行以下命令，在Linux伺服器的/目錄下建立一個用於存放認證的目錄。

   mkdir /ssl  #建立認證目錄，命名為ssl。

2. 將認證檔案和私密金鑰檔案上傳到Linux伺服器的認證目錄（/ssl）。

   說明

   您可以使用遠程登入工具的本地檔案上傳功能來上傳檔案。例如PuTTY、Xshell或WinSCP等工具。如果您使用的是阿里雲Elastic Compute Service，關於上傳檔案的具體操作，請參見上傳或下載檔案。

3. 開啟Flask應用檔案，參考以下範例程式碼配置認證。

   以下是一段完整的Flask應用範例程式碼。您可以複製代碼內容，並在修改憑證路徑後儲存為test.py以進行測試回合。

   # 引入 flask web 架構
   from flask import Flask
   
   app = Flask(__name__)
   
   
   @app.route("/")
   def main():
       return "<p>Hello, World!</p>"
   
   
   # 配置SSL認證
   # HTTPS的預設訪問連接埠443。
   # 配置443連接埠和認證絕對路徑。'/ssl/cert.pem'需替換為認證檔案絕對路徑。'/ssl/cert.key'需替換為認證私密金鑰絕對路徑。
   context = (r'/ssl/cert.pem', r'/ssl/cert.key')
   app.run(host="0.0.0.0", port=443, ssl_context=context)
   

4. 進入test.py檔案所在的目錄，執行以下命令，重啟flask服務。

   # test.py 為本文樣本，請替換為您實際儲存的檔案名稱。
   python test.py

步驟四：重啟Flask應用驗證SSL認證是否配置成功

應用於生產環境

在生產環境部署時，遵循以下最佳實務可提升安全性、穩定性和可維護性：

• 使用非管理員權限使用者運行：

  為應用建立專用的、低許可權的系統使用者，切勿使用擁有管理員權限的賬戶運行應用。

  說明

  建議使用網關層配置 SSL的方案，即將認證部署在Server Load Balancer或Nginx等反向 Proxy上，由其終結 HTTPS 流量，再將解密後的 HTTP 流量轉寄到後端應用。

• 憑證外部化管理：

  切勿將密碼等敏感資訊寫入程式碼在代碼或設定檔中。使用環境變數、Vault 或雲端服務商提供的Key Management Service來注入憑證。

• 啟用 HTTP 到 HTTPS 強制跳轉：

  確保所有通過 HTTP 訪問的流量都被自動重新導向到 HTTPS，防止中間人攻擊。

• 配置現代 TLS 協議：

  在伺服器配置中禁用老舊且不安全的協議（如 SSLv3, TLSv1.0, TLSv1.1），僅啟用 TLSv1.2 和 TLSv1.3。

• 認證監控與自動續期：

  建議在認證部署完成後，為網域名稱開啟網域名稱監控功能。阿里雲將自動檢測認證有效期間，並在認證到期前發送提醒，協助您及時續期，避免服務中斷。具體操作請參見購買並開啟公網網域名稱監控。

安裝或更新認證後，認證未生效或 HTTPS 無法訪問

常見原因如下：

• 伺服器安全性群組或防火牆未開放 443 連接埠。請參見配置系統與網路環境。

• 認證的綁定網域名稱未包含當前訪問的網域名稱。請參見網域名稱匹配。

• 修改 Flask 應用檔案配置後，未重啟Flask服務。具體操作可參見停止並重啟Flask服務。

• 認證檔案未正確替換，或 Flask 配置未正確指定憑證路徑。請檢查 Flask 應用檔案的認證配置和所用認證檔案是否為最新且有效。

• 網域名稱已接入 CDN、SLB 或 WAF 等雲產品，但未在相應產品中安裝認證。請參閱流量經過多個雲產品時認證的部署位置完成相關操作。

• 當前網域名稱的 DNS 解析指向多台伺服器，但認證僅在部分伺服器上安裝。需分別在每個伺服器中安裝認證。

如何更新（替換）Flask 中已安裝的 SSL 憑證

請先備份伺服器上原有的認證檔案（.pem 和 .key），然後登入數位憑證管理服務控制台，下載新的認證檔案，並上傳到目標伺服器覆蓋原有檔案（確保路徑和檔案名稱一致）。最後，重啟Flask服務，使新認證生效。

啟動Flask應用時報錯 FileNotFoundError

此問題通常由檔案路徑錯誤導致。請檢查 ssl_context 中提供的認證和私密金鑰檔案路徑是否正確。路徑應相對於運行 python app.py 命令的目前的目錄，或使用絕對路徑。

瀏覽器提示 "ERR_SSL_PROTOCOL_ERROR" 或串連被重設

請檢查以下幾點：

• 認證檔案與私密金鑰檔案是否匹配。

• 使用的認證檔案是否是完整的憑證鏈結（通常是.pem檔案）。阿里雲下載的認證檔案已包含完整憑證鏈結。

• 伺服器的安全性群組或防火牆是否已正確允許存取HTTPS連接埠（本例中為443）。