Certificate Management Service：在Apache伺服器安裝SSL認證（Windows）

適用範圍

步驟一：準備SSL認證

1. 進入SSL認證管理頁面，在目標認證操作列單擊更多進入認證詳情頁面，然後在下載頁簽中下載伺服器類型為Apache的認證。

2. 解壓下載的認證壓縮包：

   • 若同時包含認證檔案（<綁定網域名稱>_public.crt）、中間認證檔案（<綁定網域名稱>_chain.crt）和私密金鑰檔案（<綁定網域名稱>.key），請妥善儲存上述檔案，後續部署時均需使用。

   • 若僅包含認證檔案（<綁定網域名稱>_public.crt）、中間認證檔案（<綁定網域名稱>_chain.crt），不含私密金鑰檔案（<綁定網域名稱>.key），需配合您本地儲存的私密金鑰檔案一起部署。

     說明

     若申請認證時使用 OpenSSL、Keytool 等工具產生 CSR 檔案，私密金鑰檔案僅儲存在您本地，下載的認證包中不包含私密金鑰。如私密金鑰遺失，認證將無法使用，需重新購買正式認證並產生CSR和私密金鑰。

3. 將認證檔案、中間認證檔案和私密金鑰檔案上傳至伺服器，並存放在一個安全的外部目錄（本文樣本路徑為D:\cert）。

   說明

   以下操作以阿里雲 ECS 為例，其它類型的伺服器請參考其官方文檔。

   1. 訪問ECS控制台-執行個體。在頁面左側頂部，選擇目標資源所在的資源群組和地區。

   2. 進入目標執行個體詳情頁，單擊遠端連線，選擇通過Workbench遠端連線。根據頁面提示登入，進入伺服器案頭。

   3. 單擊伺服器左下角開始菜單，尋找並開啟名為此電腦、電腦或檔案總管的選項。

   4. 雙擊重新導向的驅動程式和檔案夾下的***上的workbench，從本地拖動認證檔案至該目錄，然後右鍵重新整理檔案夾。

      

   5. 將目標檔案複製到D:\cert目錄。

      重要

      重新串連、退出執行個體時，Workbench會自動清除該執行個體重新導向的驅動程式和檔案夾中已上傳的所有檔案資訊以節省空間的，該目錄僅用於檔案傳輸，請不要儲存檔案。

步驟三：在Apache伺服器部署認證

以管理員權限運行命令提示字元 (cmd.exe)，執行以下操作：

1. 前往Apache的安裝目錄，執行以下命令，檢查Apache的安裝版本。

   # 在命令列中，進入Apache安裝目錄下，使用相對路徑執行
   .\httpd.exe -v

2. 請根據不同的Apache安裝版本，參考如下步驟修改設定檔。

   Apache 2.4.8 及更高版本

   1. 合并認證檔案，。

      若存在中間認證，需將伺服器憑證檔案（domain_name_public.crt）和中間認證檔案（domain_name_chain.crt）按順序合并為一個完整的憑證鏈結檔案（domain_name_fullchain.pem）。

      # 將中間認證檔案內容追加到伺服器憑證之後，形成一個完整的憑證鏈結檔案
      copy /b domain_name_public.crt + domain_name_chain.crt domain_name_fullchain.pem

      合并完成後，最終只需要兩個檔案：domain_name_fullchain.pem和domain_name.key。

   2. 修改設定檔。

      開啟目標設定檔（如：httpd-ssl.conf），增加如下配置：

      <VirtualHost *:443>
          
          # 請將example.com替換為您認證綁定的網域名稱。
          ServerName example.com
          
          # SSL引擎開關
          SSLEngine on
          
          # 認證檔案。請使用合并後的實際認證檔案（domain_name_fullchain.pem）路徑。
          # 若無中間認證檔案，請直接使用伺服器憑證檔案（domain_name_public.crt）路徑。
          SSLCertificateFile D:\cert\domain_name_fullchain.pem
          
          # 私密金鑰檔案。請替換為實際的私密金鑰檔案路徑。
          SSLCertificateKeyFile D:\cert\domain_name.key
          
          # 其他配置
          # ...
          
      </VirtualHost>

   Apache 2.4.7 及更早版本

   開啟目標設定檔（如：httpd-ssl.conf），增加如下配置：

   <VirtualHost *:443>
       
       # 請將example.com替換為您認證綁定的網域名稱。
       ServerName example.com
       
       # SSL引擎開關
       SSLEngine on
       
       # 認證檔案。請替換為實際的認證檔案路徑。
       SSLCertificateFile D:\cert\domain_name_public.crt
       
       # 憑證鏈結檔案（單獨指定）。請替換為實際的中間認證檔案路徑。
       # 若無中間認證檔案，則無需配置此項
       SSLCertificateChainFile D:\cert\domain_name_chain.crt
       
       # 私密金鑰檔案。請替換為實際的私密金鑰檔案路徑。
       SSLCertificateKeyFile D:\cert\domain_name.key
       
       # 其他配置
       # ...
       
   </VirtualHost>

3. 可選：設定HTTP請求自動跳轉到HTTPS。

   在目標設定檔中，修改當前網域名稱的<VirtualHost>，添加Rewrite指令：

   <VirtualHost *:80>
       ServerName example.com
       RewriteEngine On
       RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
   </VirtualHost>

4. 確認以上配置修改完成並儲存後，進入Apache的bin目錄，執行以下命令檢查文法是否有誤。

   .\httpd.exe -t

   如果返回 Syntax OK，則表示配置無誤。如果報錯，根據錯誤提示檢查設定檔。

5. 重啟Apache服務。

   如果文法正確，執行以下命令重啟服務，以使SSL相關配置生效。

   .\httpd.exe -k restart

   說明

   也可在Windows的“服務”管理（services.msc）中找到Apache服務並重啟。

步驟四：驗證部署結果

應用於生產環境

在生產環境部署時，遵循以下最佳實務可提升安全性、穩定性和可維護性：

• 使用非管理員權限使用者運行：

  為應用建立專用的、低許可權的系統使用者，切勿使用擁有管理員權限的賬戶運行應用。

  說明

  建議使用網關層配置 SSL的方案，即將認證部署在Server Load Balancer上，由其終結 HTTPS 流量，再將解密後的 HTTP 流量轉寄到後端應用。

• 憑證外部化管理：

  切勿將密碼等敏感資訊寫入程式碼在代碼或設定檔中。使用環境變數、Vault 或雲端服務商提供的Key Management Service來注入憑證。

• 啟用 HTTP 到 HTTPS 強制跳轉：

  確保所有通過 HTTP 訪問的流量都被自動重新導向到 HTTPS，防止中間人攻擊。

• 配置現代 TLS 協議：

  在伺服器配置中禁用老舊且不安全的協議（如 SSLv3, TLSv1.0, TLSv1.1），僅啟用 TLSv1.2 和 TLSv1.3。

• 認證監控與自動續期：

  建議在認證部署完成後，為網域名稱開啟網域名稱監控功能。阿里雲將自動檢測認證有效期間，並在認證到期前發送提醒，協助您及時續期，避免服務中斷。具體操作請參見購買並開啟公網網域名稱監控。

安裝或更新認證後，認證未生效或 HTTPS 無法訪問

常見原因如下：

• 伺服器安全性群組或防火牆未開放 443 連接埠。請參見配置系統與網路環境。

• 認證的綁定網域名稱未包含當前訪問的網域名稱。請參見網域名稱匹配。

• 修改 Apache 設定檔後，未重啟Apache服務。具體操作可參見檢查並重啟Apache服務。

• 認證檔案未正確替換，或 Apache 配置未正確指定憑證路徑。請檢查 Apache 設定檔和所用認證檔案是否為最新且有效。

• 網域名稱已接入 CDN、SLB 或 WAF 等雲產品，但未在相應產品中安裝認證。請參閱流量經過多個雲產品時認證的部署位置完成相關操作。

• 當前網域名稱的 DNS 解析指向多台伺服器，但認證僅在部分伺服器上安裝。需分別在每個伺服器中安裝認證。

如何更新（替換）Apache 中已安裝的 SSL 憑證

請先備份伺服器上原有的認證檔案（.crt，以及.key檔案），然後登入數位憑證管理服務控制台，下載新的認證檔案，並上傳到目標伺服器覆蓋原有檔案（確保路徑和檔案名稱一致）。最後，重啟Apache服務，使新認證生效。