V2EX = way to explore

V2EX 是一个关于分享和探索的地方

已注册用户请登录

爱意满满的作品展示区。

这是一个创建于 455 天前的主题，其中的信息可能已经有所发展或是发生改变。

前言

最近谷歌开放了自家的 GTS CA(Google Trust Services)，谷歌作为全球大厂那不得好好嫖一下！目前该服务进入了 Public Review 阶段，不再需要申请内测资格，而且支持 acme.sh 快速申请，那不就是嫖他的好日子来了吗！

证书简介

GTS SSL 证书的特点是

支持 IP 地址块持有者申请 IP 地址证书
根 CA 为 GlobalSign，根 CA 的支持性和兼容性比 Let's Encrypt 好
支持安全性和性能更好的ECC 证书
支持多域名、泛域名证书申请（例如*.cestlavie.moe）
有效期为90 天
支持的 ACME 验证方式为TLS-ALPN-01、HTTP-01、和 DNS-01
暂不支持邮箱验证方式申请
暂不支持以国际化域名编码的域名

申请步骤

获取注册密钥

打开shell.cloud.google.com，输入以下代码

$ gcloud beta publicca external-account-keys create #创建凭据

回显为

$ gcloud beta publicca external-account-keys create
API [publicca.googleapis.com] not enabled on project [<projectid>]. Would you like to enable and retry (this will take a few minutes)? (y/N)?  y #允许创建 publica API
Enabling service [publicca.googleapis.com] on project [<projectid>]...
Operation "operations/acat.p2-<projectid>-<uuid>" finished successfully.
Created an external account key
[b64MacKey: <hmac_key>
keyId: <keyid>]

保存好输出的<hmac_key>和<keyid>，接下来要用

安装`acme.sh`

curl  https://get.acme.sh | sh -s   # 请确保已安装 curl

显示Install success!即为安装成功

使用凭据注册

acme.sh --set-default-ca --server google #切换默认 CA 为 Google
acme.sh --server https://dv.acme-v02.api.pki.goog/directory \
--register-account  --accountemail <Your_Email> --eab-kid <keyid> --eab-hmac-key <hmac_key> # 使用刚刚获取凭据注册账号

签发证书

使用 TXT 记录手动验证 DNS

acme.sh  --issue  --dns   -d yourdomain.com \
--yes-I-know-dns-manual-mode-enough-go-ahead-please

然后根据回显中

Add the following TXT record:
Domain: '_acme-challenge.yourdomain.com'
TXT value: '<TXT_value>'

设置 DNS 记录，完成后输入

acme.sh  --renew   -d yourdomain.com \
--yes-I-know-dns-manual-mode-enough-go-ahead-please

完成证书申请

显示Cert success即为申请成功

可以在~/.acme.sh/yourdomain.com/下获取证书

使用 Cloudflare API 自动验证 DNS

（注：这里默认使用了 Cloudflare 来演示自动申请证书，详细的支持列表及申请方法可以在这里找到）

首先获取你的Global API Key，可在此处获取

然后在终端中输入

export CF_Key='<YourGlobalAPIKey>'
export CF_Email="<YourEmail>"

接下来申请证书，输入

acme.sh --issue --dns dns_cf -d yourdomain.com #单域名
acme.sh --issue --dns dns_cf -d *.yourdomain.com #泛域名
acme.sh --issue --dns dns_cf -d sub1.yourdomain.com -d sub2.yourdomain.com #多域名
acme.sh --issue --dns dns_cf -d yourdomain.com --ecc #ECC 证书

看到回显Cert success即为申请成功，可以在~/.acme.sh/yourdomain.com/下获取证书

此时 Cloudflare 凭据会自动存储至~/.acme.sh/account.conf用于续期目的

文中部分信息已做脱敏处理

注：申请下的证书路径为

参考文献

DNS

证书

申请

issue

30 条回复 • 2023-01-27 09:36:03 +08:00

2023-01-20 19:06:33 +08:00

国内 VPS 可以吗？

jonathon523

2023-01-20 19:59:59 +08:00 via Android

@ab 可以的，在国内有申请节点，但是需要先魔法在 Google Cloud Shell 获得 b64MacKey 和 keyid

666VS2333

2023-01-20 21:25:32 +08:00 via Android

到期可以续吗

jonathon523

2023-01-20 21:33:04 +08:00 via Android

@666VS2333 可以的，支持 acme.sh 自动续期

666VS2333

2023-01-20 22:48:16 +08:00 via Android

@jonathon523 感谢老哥

daiv

2023-01-20 23:06:18 +08:00

Let's Encrypt / ZeroSSL

现在多了这个, 给个切换的理由呗

jonathon523

2023-01-21 01:19:11 +08:00 via Android

@daiv 国内 VPS 申请方便；根 CA 为 GlobalSign ，根 CA 的支持性和兼容性比 Let's Encrypt 好；签发速度比 ZeroSSL 快得多，ZeroSSL 经常时不时抽风，这个不会。

superares

2023-01-21 08:18:17 +08:00 via iPhone

可惜还是 preview 状态，cert-manager 还不支持

simau

2023-01-21 08:56:07 +08:00

补充一下：需要先设置一下自己的 project id ，project id 可以在 gcp console 页找到，$ gcloud config set project project_id

jonathon523

2023-01-21 08:59:56 +08:00 via Android

@superares 已经是 Public Review 了
官方文档里面有说
For Kubernetes based workloads
If you are using Kubernetes, thanks to cert-manager (another ACME client), it is just as easy.
具体请看 https://cloud.google.com/blog/products/identity-security/automate-public-certificate-lifecycle-management-via--acme-client-api

jonathon523

2023-01-21 09:03:28 +08:00 via Android

@simau 可以先在 console.cloud.google.com 顶栏选好项目再点击 Cloud Shell 的图标创建 session ，或者在 shell.console.cloud.google.com 标签页切换栏中点击加号旁边的三角，选择对应的 project id

jonathon523

2023-01-21 09:11:43 +08:00 via Android

@daiv 还想到一个，Let's Encrypt 的证书因为很多翻墙的人和灰产在用，会被 GFW 重点关照。

simau

2023-01-21 09:20:16 +08:00

@jonathon523 刚刚试过了，没魔法访问不了 https://dv.acme-v02.api.pki.goog ，op 确定是可以访问？

superares

2023-01-21 10:27:32 +08:00

@jonathon523 好使。和 ZeroSSL 的方式一样

jonathon523

2023-01-21 10:32:20 +08:00 via Android

@simau 刚刚测试了一下好像确实访问不了了，估计是这两天刚墙
我待会儿看看能不能搞个反向代理用

me221

2023-01-21 13:27:51 +08:00

感谢分享, 不过国内不能顺利申请

winterbells

2023-01-21 16:05:34 +08:00

https://github.com/acmesh-official/acme.sh/wiki/CA
https://github.com/acmesh-official/acme.sh/wiki/Google-Public-CA

IP 试了一下还不行

jonathon523

2023-01-21 16:14:02 +08:00 via Android

@winterbells IP 地址证书需要 IP 地址块持有者申请，acme 没法搞

siknet

2023-01-21 16:33:31 +08:00 via Android

有老哥弄个自动续期的脚本嘛

me221

2023-01-21 18:36:30 +08:00

我打算用 actions 自动续期, 发现 hmac_key 和 keyid 只能用一次....

winterbells

2023-01-21 20:20:37 +08:00 via Android

@jonathon523 噢噢，突然理解了

daiv

2023-01-21 22:24:41 +08:00

@me221 #20 啊, 那岂不是很不方便

jonathon523

2023-01-22 00:10:20 +08:00 via Android

@me221 对的。但是限制仅限注册，所以建议服务器上部署来实现自动续期，或者发布一个私有的已经注册完成的 docker 实现

@daiv acme.sh 还是会在你申请的服务器上创建定时任务，进行续期的，但是对于 action 这种每次都相当于新的服务器，需要重新注册，那就必须得换或者直接用注册好的 docker 镜像了

bugfan

2023-01-22 23:56:37 +08:00 via iPhone

@siknet 哈哈你看看 https://www.i996.me 里面的证书签发功能，只需要 2 步，就能帮你签好证书，支持房，域名证书，而且这个支持以文件夹方式下载和 http api 方式获取，方便你集成到自己程序里。如果你用 nginx 可以用文件夹方式获取，配置到计划任务就行了

jonathon523

2023-01-23 08:40:46 +08:00 via Android

@siknet acmesh 还是会在你申请的服务器上创建定时任务，进行续期的

chancat

2023-01-23 12:41:09 +08:00 via Android

谢谢分享，看看先

blankmiss

2023-01-23 17:09:04 +08:00

能签泛域名吗

jonathon523

2023-01-23 18:29:14 +08:00 via Android

@blankmiss 可以的

elboble

2023-01-26 15:23:40 +08:00

已经用上了，暂时没发现区别。

对了，原来没用过 google 的云服务，这样算开了服务，会收费吗？？

jonathon523

2023-01-27 09:36:03 +08:00 via Android

@elboble 这个是免费的，不会收费

使用 ACME.SH 申请 Google CA SSL 证书

前言

证书简介

申请步骤

获取注册密钥

安装acme.sh

使用凭据注册

签发证书

注：申请下的证书路径为

参考文献

安装`acme.sh`