珂珂的个人博客 - 一个程序猿的个人网站
由于一直用的Let Encrypt的泛域名证书，这种证书只有3个月有效期。最近被过期整烦了决定尝试自动续期了
首先安装Certbot
snap install --classic certbot #安装Certbot
创建连接
ln -s /snap/bin/certbot /usr/bin/certbot #创建一个符号链接，确保可以执行certbot命令（相当于快捷方式）
由于我的服务器上已经安装了就不运行上面命令了。
再去阿里云控制台申请AccessKey ID，AccessKey Secret
服务区ECS地域ID
安装阿里云CLI 工具
GitHub - justjavac/certbot-dns-aliyun: 阿里云 DNS 的 certbot 插件，用来解决阿里云 DNS 不能自动为通配符证书续期的问题
wget https://aliyuncli.alicdn.com/aliyun-cli-linux-latest-amd64.tgz tar xzvf aliyun-cli-linux-latest-amd64.tgz mv aliyun /usr/local/bin
配置阿里云凭证
如何在阿里云CLI中配置身份凭证_阿里云CLI(CLI)-阿里云帮助中心
aliyun configure set --profile AkProfile --mode AK --access-key-id **** --access-key-secret **** --region ****
激活刚配置的凭证
aliyun ecs DescribeInstances --profile AkProfile
凭证保留位置: ~/.aliyun/
安装 certbot-dns-aliyun 插件
刚开始用了个pip的好像不起作用
pip install certbot-dns-aliyun -i https://mirrors.aliyun.com/pypi/simple/ --default-timeout=100 --no-cache-dir
wget https://cdn.jsdelivr.net/gh/justjavac/certbot-dns-aliyun@main/alidns.sh sudo mv alidns.sh /usr/local/bin sudo chmod +x /usr/local/bin/alidns.sh sudo ln -s /usr/local/bin/alidns.sh /usr/local/bin/alidns
如果上面wget下载不下来可以在本机用迅雷下载后上传到服务器
申请证书
先测试是否能正确申请
certbot certonly -d *.example.com --manual --preferred-challenges dns --manual-auth-hook "alidns" --manual-cleanup-hook "alidns clean" --dry-run
参数说明 - -d http://example.com：指定域名（可以指定多个域名）。 - manual：手动模式。 - preferred-challenges dns：使用 DNS 挑战。 - manual-auth-hook "alidns"：在 DNS 挑战时调用 alidns 脚本。 - manual-cleanup-hook "alidns clean"：在 DNS 挑战完成后调用 alidns clean 脚本。 - --dry-run：模拟续期过程，不会实际续期证书。正式申请时去掉--dry-run参数
证书续期
先测试是否能正常续期
certbot renew --manual --preferred-challenges dns --manual-auth-hook "alidns" --manual-cleanup-hook "alidns clean" --dry-run
同样，正式续期时去掉 --dry-run
如果证书未到期，Certbot 会跳过续期。可以通过以下命令强制续期：
certbot renew --force-renewal --preferred-challenges dns --manual-auth-hook "alidns" --manual-cleanup-hook "alidns clean"
貌似可以加下面的参数指定证书生成路径
--config-dir /root/web/ssl/kecq
默认生成的证书路径在 /etc/letsencrypt/live/kecq.com
包含以下文件
cert.pem：这是你的 SSL 证书 文件。
privkey.pem：这是你的 私钥 文件，务必妥善保管，切勿泄露。
chain.pem：这是 中间证书链 文件，用于验证证书的完整性。
fullchain.pem：这是 完整证书链 文件，通常用于 Nginx 或 Apache 的 SSL 配置中。
自动续期
添加定时任务crontab
crontab -e
按1再输入以下内容
0 2 * * * /usr/bin/certbot renew --quiet --preferred-challenges dns --manual-auth-hook "alidns" --manual-cleanup-hook "alidns clean" --deploy-hook "nginx -s reload" >> /var/log/certbot-renew.log 2>&1
这一段可以不要
>> /var/log/certbot-renew.log 2>&1
参数说明 - 0 2 * ：每天凌晨 2:00 执行任务。 - --quiet：静默模式，减少日志输出。 - --preferred-challenges dns：指定使用 DNS 挑战。 - --manual-auth-hook "alidns"：在 DNS 挑战时调用 alidns 脚本。 - --manual-cleanup-hook "alidns clean"：在 DNS 挑战完成后调用 alidns clean 脚本。 - --deploy-hook "nginx -s reload"：在证书成功续期后重新应用 Nginx配置。 - >> /var/log/certbot-renew.log 2>&1：将日志输出到 /var/log/certbot-renew.log。
我是用的
1 1 */1 * * root certbot renew --manual --preferred-challenges dns --manual-auth-hook "alidns" --manual-cleanup-hook "alidns clean" --deploy-hook "nginx -s reload"
用下面命令查看任务
crontab -l
编辑当前用户的 crontab 文件
crontab -e
删除当前用户的 crontab 文件
解释
检查证书状态
certbot certificates
然后我还将此证书运用到OSS了 所以还需要搞定自动更新OSS上的证书......
2025.3.8
今天发现另一个域名fyj.me 的证书早过期了，而且nginx设置得不对，导致网站fyj.me无法访问,但这个域名的dns解析在腾讯云上，所以还研究下腾讯云如何实现
首先安装腾讯云命令行工具TCCLI
sudo pip install tccli
安装完后检查版本是否安装成功
tccli --version
配置凭证输入下面命令进入交换模式
tccli configure
然后
$ tccli configure TencentCloud API secretId [*afcQ]:************** TencentCloud API secretKey [*ArFd]:************** region: ap-guangzhou output[json]:
region 貌似不影响就输入ap-guangzhou 好了
output 时输入json
密钥可以在下面菜单中找到
注意secretKey只有在创建的时候才能看到，后续也无法查看，所以需要将这个保存下来。
然后去找cli命令
可以先运行下看是否成功
然后需要编写一个脚本，我存在了 /root/dnspod.sh里
#!/bin/bash
RECORD_FILE="/tmp/_acme-challenge.${CERTBOT_DOMAIN}_${CERTBOT_VALIDATION}"
if ! command -v tccli >/dev/null; then
echo "TCCLI is required: https://cloud.tencent.com/document/product/440" 1>&2
exit 1
fi
if [ "$1" = "clean" ]; then
# 删除 DNS TXT 记录
RECORD_ID=$(cat ${RECORD_FILE})
if [ -n "${RECORD_ID}" ]; then
tccli dnspod DeleteRecord --cli-unfold-argument \
--Domain ${CERTBOT_DOMAIN} \
--RecordId ${RECORD_ID} \
>/dev/null
fi
rm -f ${RECORD_FILE}
else
# 创建 DNS TXT 记录
RECORD_ID=$(
tccli dnspod CreateRecord --cli-unfold-argument \
--Domain ${CERTBOT_DOMAIN} \
--SubDomain _acme-challenge \
--RecordType TXT \
--RecordLine 默认 \
--Value ${CERTBOT_VALIDATION} \
--TTL 600 \
| grep "RecordId" | grep -Eo "[0-9]+"
)
echo ${RECORD_ID} > ${RECORD_FILE}
sleep 20 # 等待 DNS 记录传播
fi脚本中涉及到一些环境变量比如CERTBOT_DOMAIN、CERTBOT_VALIDATION等等，这是由certbot自动将相关的环境变量传递给这些脚本的。
用下面命令测试是否成功
certbot certonly -d *.fyj.me --manual --preferred-challenges dns --manual-auth-hook "/root/dnspod.sh" --manual-cleanup-hook "/root/dnspod.sh clean" --dry-run
由于之前的续期命令没有指定域名
certbot renew --force-renewal --preferred-challenges dns --manual-auth-hook "alidns" --manual-cleanup-hook "alidns clean"
所以还需要加上参数，起初我是certbot renew -d *.fyj.me --manual........... 发现报错
certbot renew --cert-name *.fyj.me --manual 这样也报错、
正确的是 certbot renew --cert-name fyj.me --manual 这个cert-name名称是证书名称
测试续期
certbot renew --cert-name fyj.me --manual --preferred-challenges dns --manual-auth-hook "/root/dnspod.sh" --manual-cleanup-hook "/ro ot/dnspod.sh clean" --dry-run
顺便将上面的定时任务给改了
可以直接编辑
/var/spool/cron/crontabs/root 文件
顺便改成每10天了
1 2 */10 * *
然后就发现遇到坑了
访问主域名网站 fyj.me发现证书不受信任，看了一圈才发现是因为*.fyj.me 而主域名fyj.me没有加入，但kecq.com没这种情况...
那么需要重新申请，不要直接删除证书目录否则certbot certificates 会报错，重新申请证书名称也会是 fyj.me-0001
执行
certbot delete --cert-name fyj.me
删除证书
再在申请证书的命令加上主域名
certbot certonly -d *.fyj.me -d fyj.me --manual --preferred-challenges dns --manual-auth-hook "/root/dnspod.sh" --manual-cleanup-hook "/root/dnspod.sh clean" --dry-run
即有两个 -d参数