curl https://get.acme.sh | sh -s email=邮箱
source ~/.bashrc
#查看版本
acme.sh -v

acme.sh默认安装在/root/.acme.sh，使用 ll -a查看

2.获取阿里云DNS api

其他云厂商 api 获取方式参考：https://github.com/acmesh-official/acme.sh/wiki/dnsapi#dns_ali

控制台搜索“访问控制”

创建用户组并添加权限：AliyunDNSFullAccess

创建用户并勾选 Open API 调用访问，添加到刚才创建的用户组中

用户——认证管理——创建 AccessKey

#声明环境变量
export Ali_Key="AccessKey ID"
export Ali_Secret="AccessKey"

在第一次申请证书后 Ali_Key 和 Ali_Secret 将会自动保存在 ~/.acme.sh/account.conf 并在以后需要时重新使用。

3.申请通配符证书

acme.sh --issue --dns dns_ali -d 域名 -d *.域名

acme会自动创建一个 cronjob, 在每天 0:00 点自动检测所有的证书, 如果快过期了, 需要更新, 则会自动更新证书。

crontab -l  #查看
crontab -e  #编辑

4.copy 证书

生成的证书都放在安装目录下: ~/.acme.sh/, 不要直接让 nginx/apache 的配置文件使用这下面的文件. 这里面的文件都是内部使用, 而且目录结构可能会变化。

两种方法：

1.将证书 copy 到自定义的目录下，在nginx/apache配置文件中引用此目录下的证书。

#nginx
acme.sh --install-cert -d 域名 --key-file       /blog/ssl/域名.key  --fullchain-file /blog/ssl/fullchain.cer --reloadcmd     "service nginx force-reload"

#apache
acme.sh --install-cert -d 域名 \
--cert-file      /path/to/certfile/in/apache/cert.pem  \
--key-file       /path/to/keyfile/in/apache/key.pem  \
--fullchain-file /path/to/fullchain/certfile/apache/fullchain.pem \
--reloadcmd     "service apache2 force-reload"

2.使用软连接(推荐)

ln -s /root/.acme.sh/kshar.cn_ecc/fullchain.cer fullchain.cer 
ln -s /root/.acme.sh/kshar.cn_ecc/kshar.cn.key kshar.cn.key

Nginx 的配置 ssl_certificate 使用 /etc/nginx/ssl/fullchain.cer ，而非 /etc/nginx/ssl/域名.cer

5.查看已安装证书的信息

acme.sh --info -d 域名

6.升级

#升级acme
acme.sh --upgrade
#开启自动升级
acme.sh --upgrade --auto-upgrade
#关闭自动升级
acme.sh --upgrade --auto-upgrade  0
#更新证书
acme.sh --renew -d 域名 --force

7.更改acme的 ca 服务器

acme.sh目前默认的ca服务器是zerossl，可能会出现出错：

Pending, The CA is processing your order, please just wait.

#更改acme的ca服务器为letsencrypt
acme.sh --set-default-ca --server letsencrypt

yum install epel-release -y
yum -y update && yum -y install certbot

2.申请证书

停止nginx

systemctl stop nginx
certbot certonly --standalone -d 域名 --email 邮箱 --agree-tos --no-eff-email --force-renewal

证书存放目录目录为：/etc/letsencrypt/live/

3.编写自动续签脚本

内容自行修改

cat auto_cert_renewal-1.sh 
# 定义证书存储目录
certs_directory="/etc/letsencrypt/live/"

days_before_expiry=5  # 设置在证书到期前几天触发续签

# 遍历所有证书文件
for cert_dir in $certs_directory*; do
    # 获取域名
    domain=$(basename "$cert_dir")

    # 忽略 README 目录
    if [ "$domain" = "README" ]; then
        continue
    fi

    # 输出正在检查的证书信息
    echo "检查证书过期日期： ${domain}"

    # 获取fullchain.pem文件路径
    cert_file="${cert_dir}/fullchain.pem"

    # 获取证书过期日期
    expiration_date=$(openssl x509 -enddate -noout -in "${cert_file}" | cut -d "=" -f 2-)

    # 输出证书过期日期
    echo "过期日期： ${expiration_date}"

    # 将日期转换为时间戳
    expiration_timestamp=$(date -d "${expiration_date}" +%s)
    current_timestamp=$(date +%s)

    # 计算距离过期还有几天
    days_until_expiry=$(( ($expiration_timestamp - $current_timestamp) / 86400 ))

    # 检查是否需要续签（在满足续签条件的情况下）
    if [ $days_until_expiry -le $days_before_expiry ]; then
        echo "证书将在${days_before_expiry}天内过期，正在进行自动续签。"

        # 停止 Nginx
        systemctl stop nginx

        # 续签证书
        certbot certonly --standalone -d $domain --email 1172338990@qq.com --agree-tos --no-eff-email --force-renewal

        # 启动 Nginx
        systemctl start nginx

        echo "证书已成功续签。"
    else
        # 若未满足续签条件，则输出证书仍然有效
        echo "证书仍然有效，距离过期还有 ${days_until_expiry} 天。"
    fi

    # 输出分隔线
    echo "--------------------------"
done

添加执行权限并测试

chmod +x auto_cert_renewal-1.sh

sh auto_cert_renewal-1.sh 
检查证书过期日期： kshar.cn
过期日期： Sep 23 07:56:22 2024 GMT
证书仍然有效，距离过期还有 89 天。
--------------------------

4.设置定时任务

echo "0 0 * * * cd ~ && ./auto_cert_renewal-1.sh" | crontab -