介绍

超文本传输协议HTTP协议被用于在Web浏览器和网站服务器之间传递信息，HTTP协议以明文方式发送内容，不提供任何方式的数据加密，如果攻击者截取了Web浏览器和网站服务器之间的传输报文，就可以直接读懂其中的信息，为了解决HTTP协议的这一缺陷，需要给http加上证书使之升级成为：安全套接字层超文本传输协议HTTPS，为了数据传输的安全，HTTPS在HTTP的基础上加入了SSL协议，SSL依靠证书来验证服务器的身份，并为浏览器和服务器之间的通信加密。

自己和用户之间的信息怎么能被别人偷听呢，所以我们要为自己的网站添加一层“保护罩”(SSL/TSL)

这时你就可以选择建木CI提供的解决方案：使用acme-ssl节点快速为自己的网站添加“保护罩” !

目前acme-ssl节点支持阿里云作为DNS服务解析商的域名创建证书，后续会加上华为云，腾讯云等。

申请域名

要向ca申请证书，首先我们得有属于自己的域名，目前支持阿里云作为DNS解析商，所以我们得向阿里云购买域名

为自己的域名申请证书

使用建木CI编排acme-ssl节点为自己的域名申请证书，关于如何安装，使用建木CI以及建木CI的相关概念的介绍，在这篇博客中写得比较详细: 基于建木CI部署maven项目 ，欢迎大家前去围观

定义pipeline去申请证书，

name: acme-ssl
description: acme-ssl的pip
​
pipeline:
acme_sh:type: "acme_ssl_aliyun:1.0.2"param:# 为哪个域名申请证书domain: "*.huangxi.asia"# 填写自己的emailemail: "1014231151@qq.com"# 阿里云的AccessKey, 具体获取方式请参照阿里云官网ali_key: ((ali.key))# 阿里云的密钥, 具体获取方式请参照阿里云官网ali_secret: ((ali.secret))# 是否通过公共dns进行检查. 若为true, 则等待20秒, acme.sh将使用cloudflare公共dns或google dns检查记录是否生效。# 若参数为false, acme.sh将等待10秒，啥事也不干，在测试阶段，我们将此值置为false，就不用去公共dns检查了dns_check: false# 选择CA机构，支持的ca，可为letsencrypt、letsencrypt_test、buypass、buypass_test、zerossl、sslcom。# 默认为zerossl，并且buypass、buypass_test、sslcom为收费的CA机构ca: "zerossl"# 以下为两个节点是复制数据节点，目的在于将生成的私钥和证书到我们的服务器中    
scp_cert:type: scp_resouce:1.1.0param:# 目标服务器的主机ipssh_ip: xxx.xxx.xxx.xxx# 服务器私钥ssh_private_key: ((xxx.server_private_key))# 同步到目标服务器的哪个文件夹, 如果目标服务器无此文件夹，会自动创建并同步remote_file: /tmp/hx/fullchain.cer# 将哪个文件同步到服务器，这里将证书同步到服务器local_file: ${acme_sh.cer_path}
scp_key:type: scp_resouce:1.1.0param:ssh_ip: xxx.xxx.xxx.xxxssh_private_key: ((xxx.server_private_key))# 这里将私钥同步到服务器remote_file: /tmp/hx/*.huangxi.asia.keylocal_file: ${acme_sh.key_path}

将流程dsl复制到建木CI中，开始跑流程，而我们就等待acme-ssl节点为我们申请证书吧

经过等待，流程已经全部跑通

来到虚拟机，查看复制过来的证书和私钥，此时的心情，一个字，爽歪歪～

将证书私钥部署到服务器上

拿到证书和私钥后，我们就可以将它们部署到我们的服务器上了，这里使用nginx作为我们的web容器

• 安装nginx

  [root@huangxi ssl]# yum -y install nginx
  

• 查看nginx的位置，我们nginx启动的二进制文件位于/usr/sbin/nginx，配置文件位于/etc/nginx/nginx.conf

  [root@huangxi ssl]# whereis nginx
  nginx: /usr/sbin/nginx /usr/lib64/nginx /etc/nginx /usr/share/nginx /usr/share/man/man3/nginx.3pm.gz /usr/share/man/man8/nginx.8.gz
  

• 启动nginx

  [root@huangxi ssl]# nginx
  

• 修改nginx的配置文件

  # 在http快中添加如下配置
  server {# 开启ssl 443端口监听listen       443 ssl;# 对应的域名，把*.huangxi.asia改成你们自己的域名就可以了server_name *.huangxi.asia;# 配置从acme-ssl节点获取到证书路径ssl_certificate     /tmp/hx/ssl/fullchain.cer;# 配置从acme-ssl节点获取到私钥路径ssl_certificate_key /tmp/hx/ssl/*.huangxi.asia.key;
  ​ssl_session_cache   shared:SSL:1m;ssl_session_timeout 5m;
  ​ssl_ciphers HIGH:!aNULL:!MD5;ssl_prefer_server_ciphers on;
  ​location / {root   html;index index.html index.htm;}
  }
  ​
  server{listen 80;server_name huangxi.asia;# 即使访问80端口也给他重定向到443端口rewrite ^/(.*)$ https://*.huangxu.asia:443/$1 permanent;
  }
  

• 验证nginx配置文件的配置正确与否

  [root@huangxi nginx]# nginx -t
  nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
  nginx: configuration file /etc/nginx/nginx.conf test is successful
  

• 重新加载nginx配置文件

  [root@huangxi nginx]# nginx -s reload
  

测试证书是否生效

打开我们的浏览器，输入www.huangxi.asia (这个地方输入自己的域名)

如上图我们访问到了nginx的默认欢迎页面，可以看到是使用https协议访问，并且证书是有效的，至此我们成功的为自己的网站添加了一层“保护罩”

本文为建木博主「Freedom」的原创投稿文章，转载请联系授权。

项⽬官⽹：https://jianmu.dev

项⽬托管：https://gitee.com/jianmu-dev

项⽬文档：https://docs.jianmu.dev

在线体验：https://ci.jianmu.dev