亚马逊AWS官方博客
·
应对TLS/SSL证书有效期大幅缩短——使用ACME协议实现证书自动续期
内容提要
CA/Browser Forum决定自2025年起大幅缩短SSL/TLS证书有效期至47天，企业需尽早部署自动续期系统。本文介绍在亚马逊EC2上使用Let’s Encrypt和Certbot实现证书自动续期的三种模式：Standalone（短暂停机）、Webroot（零停机）和Nginx插件（全自动）。
关键要点
-
CA/Browser Forum决定自2025年起将SSL/TLS证书有效期缩短至47天，企业需尽早部署自动续期系统。
-
有效期缩短的目的包括提升证书可信度、缩小风险窗口和推动自动化管理。
-
使用亚马逊云科技的ACM服务可自动更新证书，但许多客户仍需管理第三方证书。
-
本文介绍在亚马逊EC2上使用Let’s Encrypt和Certbot实现证书自动续期的三种模式：Standalone、Webroot和Nginx插件。
-
Standalone模式简单但会导致短暂停机，适合开发或低流量站点。
-
Webroot模式实现零停机，但需手动配置ACME路径，适合生产环境。
-
Nginx插件模式实现零停机且全自动，推荐用于大多数生产环境。
-
企业应根据自身架构和预算尽早实施自动化管理，以应对证书有效期的变化。
延伸问答
为什么SSL/TLS证书的有效期会缩短？
有效期缩短的目的是提升证书可信度、缩小风险窗口和推动自动化管理。
企业如何应对证书有效期缩短的变化？
企业应尽早全面盘点现有证书资产，部署基于ACME协议的自动签发与续期体系，并建立到期监控与告警机制。
在亚马逊EC2上如何实现证书的自动续期？
可以使用Let’s Encrypt和Certbot，通过Standalone、Webroot或Nginx插件三种模式实现证书的自动续期。
Standalone模式的优缺点是什么？
优点是配置简单，无需修改Nginx配置；缺点是每次续期会导致10-30秒的停机。
Webroot模式与Nginx插件模式有什么区别？
Webroot模式需要手动配置ACME路径，适合希望零停机的生产环境；Nginx插件模式则全自动，无需手动修改配置，推荐用于大多数生产环境。
如何设置Certbot的自动续期任务？
可以通过Cron或Systemd定时器设置Certbot的自动续期任务，确保定期运行续期命令。
