26、自动化 HTTPS 和 TLS 证书配置指南

自动化 HTTPS 和 TLS 证书配置指南

在当今数字化的时代，HTTPS 已经成为任何面向公众的网站和应用程序的必备功能，在内部服务中使用 HTTPS 也十分常见。本文将详细介绍如何使用 Ansible 自动化配置 HTTPS 和 TLS 证书，以及如何使用 Nginx 代理 HTTP 流量并通过 HTTPS 提供服务。

自签名证书的使用与局限

自签名证书有助于确保某些环境可以通过 HTTPS 访问。运行特定的 playbook 后，如果没有错误，你应该能够安全地访问 https://https.test/ （前提是你的 hosts 文件中有该域名指向服务器 IP 地址的记录）。不过，由于它是自签名的，你可能会收到安全警告，但所有现代浏览器和支持 HTTPS 的工具现在应该能够通过加密连接加载该网站。

需要注意的是，如果你多次重建 https.test 服务器（从而创建新的自签名证书），请务必删除之前添加到受信任证书列表中的证书。例如，在 macOS 上通过钥匙串访问（Keychain Access）为 Chrome 和 Safari 删除，或在 Firefox 的“偏好设置”>“高级”>“证书”中删除。

然而，自签名证书存在一些缺点。每个访问者首次访问时都必须确认安全例外，像 curl 这样的命令行工具和 HTTP 库在遇到自签名证书时通常会失败，除非你特别忽略证书信任设置，但这存在安全风险。因此，通常最好使用来自受信任证书颁发机构（CA）的有效证书。

使用 Let’s Encrypt 自动化免费证书

Let’