Certd项目中使用Public CA申请SSL证书全指南

Certd项目中使用Public CA申请SSL证书全指南

certd 项目地址: https://gitcode.com/gh_mirrors/ce/certd

前言

在Certd项目中，我们可以利用Public CA服务来申请SSL证书。Public CA是提供的公共证书颁发机构服务，它基于ACME协议，能够为用户提供免费的SSL/TLS证书。本文将详细介绍如何在Certd项目中配置和使用Public CA服务。

准备工作

在开始之前，请确保您已经：

1. 拥有Cloud账号
2. 了解基本的SSL证书概念
3. 熟悉Certd项目的基本操作

第一步：启用Public CA API

要使用Public CA服务，首先需要启用相关API：

1. 登录Cloud控制台
2. 导航至API库页面
3. 搜索"Public Certificate Authority API"
4. 点击"启用"按钮
5. 等待API状态变为"已启用"

启用过程通常只需几秒钟时间。启用后，您就可以开始使用公共证书颁发服务了。

第二步：获取授权凭证

Certd项目支持两种授权方式与Public CA交互：

方法一：直接获取EAB凭证（推荐）

EAB(External Account Binding)是ACME协议中的外部账户绑定机制，用于验证客户端身份。

操作步骤：

1. 打开Cloud Shell（控制台右上角的终端图标）
2. 在终端中执行命令：

gcloud beta publicca external-account-keys create

3. 根据提示完成授权
4. 命令执行后会返回包含keyId和b64MacKey的凭证信息

重要注意事项：

• 凭证信息需要妥善保管
• 每个EAB凭证只能使用一次
• 使用后该凭证会与您的账号绑定
• 凭证有效期为7天

在Certd项目中创建EAB授权记录时，需要准确填写keyId和b64MacKey字段。

方法二：通过服务账号获取EAB

这种方法适合需要自动化管理的场景：

1. 创建Cloud服务账号
2. 为服务账号分配Owner角色权限
3. 生成JSON格式的服务账号密钥
4. 将密钥文件内容导入Certd项目

相比直接获取EAB，这种方法更适合自动化部署场景，但需要更复杂的初始配置。

第三步：在Certd中配置证书流水线

获取授权后，就可以在Certd中配置证书申请流程：

1. 选择证书提供商为"Public"
2. 根据您选择的授权方式：
   • 如果是EAB方式，选择对应的EAB授权记录
   • 如果是服务账号方式，上传服务账号JSON密钥
3. 配置证书的域名和其他参数

第四步：申请和管理证书

完成上述配置后，证书申请流程与常规ACME证书申请相同：

1. Certd会自动处理域名验证
2. 生成证书签名请求(CSR)
3. 从Public CA获取签名后的证书
4. 自动部署证书（根据您的配置）

证书续期也会自动处理，您无需手动干预。

常见问题解答

Q：为什么我的EAB凭证无效？ A：可能原因包括：

• 凭证已过期（超过7天）
• 凭证已被使用过
• 使用了不同的账号

Q：服务账号方式有什么优势？ A：适合自动化场景，可以：

• 避免手动获取EAB凭证
• 便于集成到CI/CD流程
• 实现完全自动化的证书管理

Q：Public CA有什么限制？ A：主要限制包括：

• 每个账号有申请频率限制
• 证书有效期通常为90天
• 需要定期自动续期

最佳实践建议

1. 对于个人项目，推荐使用直接获取EAB的方式
2. 对于企业生产环境，建议使用服务账号方式
3. 设置适当的监控，确保证书自动续期正常
4. 定期检查授权凭证的有效性

通过Certd项目与Public CA的集成，您可以轻松实现SSL证书的全生命周期管理，既保证了安全性，又简化了运维工作。

certd 项目地址: https://gitcode.com/gh_mirrors/ce/certd