ACME（自動證書管理環境jìng）是一個互聯網工程任務組維護的協議yì，它允許自動化huà Web 服務器證書的部署shǔ，acme.sh 是支持chí ACME 協議流行的客戶端之一yī，可以通過其實現xiàn SSL 證書的自動申請qǐng、續期等děng等。一直以來lái，使用yòng acme.sh 爲域名申請證書都是通過guò DNSPod API 來實現的de，但由於yú DNSPod API 後續將不再維護hù，同時舊版bǎnDNSPod API 將不再有服務承諾nuò，以及舊版bǎn API 存在着接口不穩定dìng、權限無法細分控制zhì、國內站和國際站接口不統一等問題tí，因此筆者基於yú dns_dp 腳本běn，適配了騰訊雲yún API3.0 版本běn（dns_tencent）。升級後的腳本將同時支持chí DNSPod 國內站zhàn和國際站（暫僅支持國內站zhàn，國際站部分接口官方團隊正在排期適配pèi，預計jì 2024Q2 完成chéng），不再需要針對國內站和國際站單獨適配pèi，同時支持使用子賬號hào API 密鑰申請證書shū，權限可細分控制zhì，接口更加穩定dìng，使用更加方便biàn、安全quán。

2023-09-25 更新xīn：騰訊雲yún API3.0 腳本已合併到dào acme.sh master 分支zhī，可直接升級jí acme.sh 後使用或通過一鍵安裝腳本běn，無需再手動下載zàidev分支腳本běn。

安裝zhuāng acme.sh

全新安裝zhuāng

適用於未安裝zhuāng acme.sh 的用戶hù，使用以下命令安裝zhuāng acme.sh 客戶端duān：

安裝zhuāng acme.sh

1
curl https://get.acme.sh | sh -s [email protected]

or

1
wget -O -  https://get.acme.sh | sh -s [email protected]

請將jiāng my@example.com 替換爲您的郵箱地址zhǐ

舊版升級jí

適用於已安裝zhuāng acme.sh 的用戶hù，請運行以下命令升級jí acme.sh 客戶端duān：

1
acme.sh --upgrade

獲取騰訊雲yún SecretId 和hé SecretKey

方式一yī：使用主賬號hào API 密鑰yào

  1. 登錄lù 騰訊雲控制檯tái，進入rù 訪問管理lǐ 頁面miàn，點擊左側菜單欄的de訪問密鑰yào，進入rù API 密鑰管理頁面miàn。
    訪問密鑰

  2. 點擊jī新建密鑰，創建jiàn API 密鑰yào，並記錄保存cún SecretId 和hé SecretKey。

方式二èr：使用子賬號hào API 密鑰yào

步驟一yī：新建權限策略lüè

  1. 登錄lù 騰訊雲控制檯tái，進入rù 訪問管理lǐ 頁面miàn，點擊左側菜單欄的de策略lüè，進入策略管理頁面miàn，並點擊jī新建自定義策略。
    策略

  2. 選擇zé按策略語法創建-空白模板，填寫基本信息xī，並將策略語法修改爲以下內容róng，並點擊jī完成創建jiàn。

    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    12
    13
    14
    15
    16
    17
    {
        "statement": [
            {
                "action": [
                    "dnspod:DescribeRecordFilterList",
                    "dnspod:DescribeRecordList",
                    "dnspod:CreateRecord",
                    "dnspod:DeleteRecord"
                ],
                "effect": "allow",
                "resource": [
                    "*"
                ]
            }
        ],
        "version": "2.0"
    }

    策略語法

    如您需要更精細的權限控制zhì，可根據實際需求修改策略語法fǎ，如配置資源六段式等děng，詳情請參考kǎo CAM-DNS 解析xī DNSPod。

步驟二èr：新建子賬號並關聯權限策略lüè

  1. 登錄lù 騰訊雲控制檯tái，進入rù 訪問管理lǐ 頁面miàn，點擊左側菜單欄的de用戶列表biǎo，進入用戶列表頁面miàn，並點擊jī新建用戶。
    用戶列表

  2. 選擇快速創建jiàn，填寫用戶信息xī，並選擇zé編程訪問。
    快速創建
    編程訪問

  3. 配置用戶權限xiàn，僅選擇剛剛創建的權限策略lüè，並點擊jī確定保存cún。
    用戶權限

  4. 點擊jī創建用戶，完成子賬號創建jiàn，並記錄保存cún SecretId 和hé SecretKey。
    創建用戶
    SecretId 和 SecretKey

申請證書shū

  1. 將獲取到的de SecretId 和hé SecretKey 導入環境變量中zhōng，以便biàn acme.sh 調用yòng。
    1
    2
    export Tencent_SecretId=""
    export Tencent_SecretKey=""
    例如rú：
    1
    2
    export Tencent_SecretId="AKIDxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
    export Tencent_SecretKey="xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
  2. 使用yòng acme.sh 申請證書shū，例如rú：
    1
    acme.sh --issue --dns dns_tencent -d example.com -d *.example.com
    例如rú：
    1
    acme.sh --issue --dns dns_tencent -d acme.dnstest.cc -d *.acme.dnstest.cc
    運行後hòu，acme.sh 將自動爲您的域名申請證書shū，並將證書文件保存在zài~/.acme.sh/example.com/目錄下xià，並且會自動爲您的域名配置證書自動續期任務wù，無需手動續期qī。
    運行結果如下xià：
    申請證書1
    申請證書2

後續操作zuò

安裝證書shū

acme.sh 不建議直接使用yòng~/.acme.sh/目錄下的證書文件jiàn，而是通過guò acme.sh 提供的命令將證書安裝到指定位置zhì，以確保證書的正確使用和續期qī，詳情請參考kǎo Install the cert to Apache/Nginx etc，以yǐ下以Nginx爲例lì。

1
2
3
4
acme.sh --install-cert -d example.com \
--key-file       /path/to/keyfile/in/nginx/key.pem  \
--fullchain-file /path/to/fullchain/nginx/cert.pem \
--reloadcmd     "service nginx force-reload"

請將jiāngexample.com替換爲您的域名míng，/path/to/keyfile/in/nginx/key.pem和hé/path/to/fullchain/nginx/cert.pem替換爲證書實際路徑jìng，service nginx force-reload替換爲您使用的de web 服務重載命令lìng。

完成申請後請將證書配置到您的網站中zhōng，以yǐ Nginx 爲例lì，示例如下xià：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
server {
    listen 443 ssl http2;

    server_name example.com;

    # 請替換爲證書實際路徑jìng
    ssl_certificate /path/to/keyfile/in/nginx/cert.pem;
    ssl_certificate_key /path/to/fullchain/nginx/key.pem;

    ssl_session_timeout 5m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305;
    ssl_prefer_server_ciphers off;
    ssl_prefer_server_ciphers on;
    location / {
        root /nginx/www/html;
    }
}

完成後不要忘記重載服務哦ó~

現在zài，請盡情享受shòu HTTPS 帶來的安全吧ba！

聯繫我們men

如果您在使用過程中遇到任何問題tí，歡迎報告gàoIssue，或者通過以下方式聯繫我們men：
Issue：Report bugs to TencentCloud (DNSPod) DNS API
官方用戶羣qún：您可在zài DNSPod 任一官方用戶羣中聯繫xì小澤，點擊加入rù DNSPod 官方用戶羣qún。