Certificate Management Service:NGINXまたはTengineサーバーにSSL証明書をインストールする

ステップ1: 証明書をダウンロードする

1. Certificate Management Serviceコンソールにログインします。

2. 左側のナビゲーションウィンドウで、証明書の管理 > SSL証明書管理を選択します。

3. SSL 証明書管理ページで、管理する証明書を見つけて、操作列のダウンロードをクリックします。

4. サーバータイプ列でNginxを検索し、操作列のダウンロードをクリックします。

   

5. ダウンロードした証明書パッケージを解凍します。

   次の表に、パッケージから抽出できるファイルを示します。 ファイルは、証明書申請書の送信時に使用する証明書署名要求 (CSR) の生成方法によって異なります。

   

   CSR生成パラメータの値	証明書パッケージから抽出されたファイル
   システム生成	PEM形式の証明書ファイル: NGINXサーバーはPEMファイルをサポートしています。 PEM形式の証明書ファイルは、完全な証明書チェーンを含むBase64-encodedテキストファイルです。 解凍後、ファイルの名前は証明書ID_Domain name bound to The Certificate形式で指定されます。 key形式の秘密鍵ファイル:デフォルトでは、秘密鍵ファイルの名前は証明書にバインドされたドメイン名形式を指定します。
   手動で入力する	証明書管理サービスコンソールで作成されたCSRを指定した場合、ダウンロードした証明書パッケージから抽出された証明書ファイルは、CSR生成パラメーターをシステム生成に設定した場合にシナリオで取得された証明書ファイルと同じになります。 証明書管理サービスコンソールで作成されていないCSRを指定した場合、ダウンロードした証明書パッケージから抽出できるのはPEM証明書ファイルだけです。 パスワードファイルまたは秘密鍵ファイルを抽出できません。 証明書ツールキットを使用して、証明書ファイル、パスワードファイル、または秘密鍵ファイルを必要な形式に変換できます。 証明書形式を変換する方法の詳細については、証明書の形式を変換するをご参照ください。

手順2: NGINXサーバーに証明書をインストールする

1. 次のコマンドを実行して、NGINXサーバーのconfディレクトリに証明書を格納するディレクトリを作成します。

   cd /usr/local/nginx/conf  # Go to the default configuration file directory of the NGINX server. The directory is used when you manually compile and install NGINX. If you changed the default NGINX installation directory or installed NGINX by using other methods, specify the actual directory. 
   mkdir cert  # Create a directory named cert.

2. 証明書ファイルと秘密鍵ファイルをNGINXサーバの次のディレクトリにアップロードします。/usr/local/nginx/conf/cert.

   説明

   ファイルをアップロードするには、PuTTY、Xshell、WinSCPなどのリモートログオンツールのファイルアップロード機能を使用します。 Alibaba Cloud Elastic Compute Service インスタンスにファイルをアップロードする方法の詳細については、「Windowsインスタンスへのファイルのアップロードまたはダウンロード」または「Linuxインスタンスへのファイルのアップロード」をご参照ください。

3. nginxサーバーのNGINX. conf構成ファイルを開き、ファイル内の証明書関連の設定を変更します。

   1. 次のコマンドを実行して、設定ファイルを開きます。

      vim /usr/local/nginx/conf/nginx.conf

      重要

      デフォルトでは、nginx.conf設定ファイルは /usr/local/nginx/confディレクトリに格納されます。 nginx.conf設定ファイルを別の場所に移動した場合は、nginx -tコマンドを実行して設定ファイルへの新しいパスを取得し、/usr/local/nginx/conf/nginx.confを新しいパスに置き換えます。

   2. nginx.conf設定ファイルでサーバー設定項目を見つけます。

      

      説明

      nginx.conf構成ファイルまたはincludeディレクティブで参照されるファイルにサーバー構成項目が含まれていない場合は、手動でサーバー構成項目を追加します。

   3. 各行の先頭から# comment記号を削除し、次のサンプルコードに基づいて設定を変更します。

      server {
           # Specify the default HTTPS port 443. 
           # If you do not specify the default HTTPS port, the NGINX service may fail to start. 
           listen 443 ssl;
           
           # Enter the domain name that is bound to the certificate.
           server_name <yourdomain>;
       
           # Enter the absolute path to the certificate file.
           ssl_certificate cert/<cert-file-name>.pem;
           # Enter the absolute path to the private key file.
           ssl_certificate_key cert/<cert-file-name>.key;
       
           ssl_session_cache shared:SSL:1m;
           ssl_session_timeout 5m;
      	 
           # Specify the Transport Layer Security (TLS) protocols and custom cipher suites that you want to use. The following sample code is only for reference.
           # A later TLS version offers higher security but lower compatibility with browsers. 
           ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
           ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;
      
           # A server-side cipher suite is preferentially used. The default value is on.
           ssl_prefer_server_ciphers on;
       
       
          location / {
                 root html;
                 index index.html index.htm;
          }
      }

   4. (オプションの手順) HTTPリクエストをHTTPSリクエストに自動的にリダイレクトするように設定します。

      すべてのHTTPリクエストをHTTPSリクエストにリダイレクトする場合は、設定ファイルに書き換えディレクティブを追加できます。

      重要

      nginx.conf設定ファイルのserver {} 設定項目に次の設定項目を追加する必要があります。 リダイレクト設定を設定した後、nginx.confファイルに2つのserver {} 設定項目が含まれます。

      server {
          listen 80;
          # Enter the domain name that is bound to the certificate.
          server_name <yourdomain>;
          # Add the rewrite directive to redirect all HTTP requests to HTTPS requests. 
          rewrite ^(.*)$ https://$host$1;
          location / {
              index index.html index.htm;
          }
      }

      次の図は、設定後の結果を示しています。

      

4. 次のコマンドを実行してNGINXサービスを再起動します。

   cd /usr/local/nginx/sbin  # Go to the executable directory of the NGINX service. 
   ./nginx -s reload  # Reload the configuration file.

   説明

   • エラーで "ssl" パラメーターにngx_http_ssl_moduleが必要な場合は、NGINXを再コンパイルし、NGINXのインストール時に -- with-http_ssl_moduleを追加します。

   • エラーの場合"/cert/3970497_demo.aliyundoc.com.pem":BIO_new_file() に失敗しました (SSL: エラー: 02001002: システムライブラリ: fopen: そのようなファイルがありませんまたはディレクトリ: fopen('/cert/3970497_demo.aliyundoc.com.pem','r') エラー: 2006D080:BIOルーチン: BIO_new_file: そのようなファイルがありません)が報告されたら、スラッシュを削除します (/証明書ファイルへの相対パスの前にある たとえば、スラッシュを削除します (/相対パスの前にある/cert/cert-file-name.pem. 必要な相対パスはcert/cert-file-name.pemです。

ステップ3: 証明書がインストールされているかどうかを確認する

https://yourdomain   # Replace yourdomain with the domain name that is bound to your certificate.

アドレスバーにロックアイコンが表示された場合、証明書がインストールされます。