Certificate Management Service：雲端服務器部署：部署 SSL 憑證至 ECS/Simple Application Server

確認 Nginx 版本。

當前僅支援 Nginx的1.18.0-2.1.al8 ~ 1.20.1-1.0.5.al8（不包含此版本）。

開啟/etc/nginx/nginx.conf設定檔，並在pid /run/nginx.pid;後添加ssl_engine pkcs11;，以指定使用PKCS#11加密庫。添加位置及完整樣本：

user nginx;
worker_processes auto;
error_log /var/log/nginx/error.log;
pid /run/nginx.pid;

# 指定使用PKCS#11加密庫
ssl_engine pkcs11;

開啟/etc/nginx/nginx.conf設定檔，取消Settings for a TLS enabled server注釋，並添加include "/etc/acm/ssl/nginx-acm.conf";用於引用SSL密鑰配置。

• 新增內容：

  include "/etc/acm/ssl/nginx-acm.conf";

• 添加位置及完整樣本：

  server {
          listen       443 ssl http2;
          listen       [::]:443 ssl http2;
         
          # 指定主機名稱或公用NAME（CN）
          server_name  example.com;
          root         /usr/share/nginx/html;
  
          ssl_session_cache shared:SSL:1m;
          ssl_session_timeout  10m;
          ssl_prefer_server_ciphers on;
         
          # 引用SSL密鑰配置
          include "/etc/acm/ssl/nginx-acm.conf";
         
          # Load configuration files for the default server block.
          include /etc/nginx/default.d/*.conf;
  
          error_page 404 /404.html;
              location = /40x.html {
          }
  
          error_page 500 502 503 504 /50x.html;
              location = /50x.html {
          }
      }

開啟/usr/lib/systemd/system/nginx.service檔案，添加P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock和OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf用於配置與SSL密鑰服務的通訊。

1. 新增內容：

   Environment="P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock"
   Environment="OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf"

2. 添加位置及完整樣本：

   [Unit]
   Description=A high performance web server and a reverse proxy server
   Documentation=man:nginx(8)
   After=network.target nss-lookup.target
   
   [Service]
   Type=forking
   PIDFile=/run/nginx.pid
   ExecStartPre=/usr/sbin/nginx -t -q -g 'daemon on; master_process on;'
   ExecStart=/usr/sbin/nginx -g 'daemon on; master_process on;'
   ExecReload=/usr/sbin/nginx -g 'daemon on; master_process on;' -s reload
   ExecStop=-/sbin/start-stop-daemon --quiet --stop --retry QUIT/5 --pidfile /run/nginx.pid
   TimeoutStopSec=5
   KillMode=mixed
   
   # 配置與SSL密鑰服務的通訊
   Environment="P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock"
   Environment="OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf"
   
   [Install]
   WantedBy=multi-user.target

   說明

   如果您不清楚Nginx的systemd服務組態檔路徑，可執行sudo find / -name "nginx.service"尋找。

執行以下命令，重載Nginx systemd服務配置。

systemctl daemon-reload

開啟/etc/nginx/nginx.conf設定檔，並在pid /run/nginx.pid;後添加ssl_engine pkcs11;用於指定使用SSL/TLS加密庫。添加位置及完整樣本：

user www-data;
worker_processes auto;
pid /run/nginx.pid;

# 指定使用PKCS#11加密庫
ssl_engine pkcs11;

include /etc/nginx/modules-enabled/*.conf;

開啟/etc/nginx/sites-enabled/default檔案，在default檔案中建立server塊並添加include "/etc/acm/ssl/nginx-acm.conf";。

1. 新增內容：

   include "/etc/acm/ssl/nginx-acm.conf";

2. 添加位置及完整樣本：

   server {
       listen 443 ssl;
       
       # 指定主機名稱或公用NAME（CN）
       server_name example.com;
       root /var/www/html;
       index index.html index.htm;
       access_log /var/log/nginx/access_6equj5.log;
       error_log /var/log/nginx/error_6equj5.log;
       ssl on;
       
       # 引用SSL密鑰配置
       include "/etc/acm/ssl/nginx-acm.conf";
   
       location / {
         try_files $uri $uri/ =404;
       }
   }

開啟/usr/lib/systemd/system/nginx.service檔案，添加P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock和OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf用於配置與SSL密鑰服務的通訊。

1. 新增內容：

   Environment="P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock"
   Environment="OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf"

2. 添加位置及完整樣本：

   [Unit]
   Description=A high performance web server and a reverse proxy server
   Documentation=man:nginx(8)
   After=network.target nss-lookup.target
   
   [Service]
   Type=forking
   PIDFile=/run/nginx.pid
   ExecStartPre=/usr/sbin/nginx -t -q -g 'daemon on; master_process on;'
   ExecStart=/usr/sbin/nginx -g 'daemon on; master_process on;'
   ExecReload=/usr/sbin/nginx -g 'daemon on; master_process on;' -s reload
   ExecStop=-/sbin/start-stop-daemon --quiet --stop --retry QUIT/5 --pidfile /run/nginx.pid
   TimeoutStopSec=5
   KillMode=mixed
   
   # 配置與SSL密鑰服務的通訊
   Environment="P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock"
   Environment="OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf"
   
   [Install]
   WantedBy=multi-user.target

執行以下命令，重載Nginx systemd服務配置。

systemctl daemon-reload