Certificate Management Service:NGINXまたはTengineサーバーにSSL証明書をインストールする

ステップ1: 証明書をダウンロードする

1. Certificate Management Serviceコンソール にログインします。

2. 左側のナビゲーションウィンドウで、証明書の管理＞SSL 証明書を選択します。

3. SSL 証明書ページで、管理する証明書を見つけて、操作列のダウンロードをクリックします。

4. サーバータイプ列でNginxを見つけ、操作列のダウンロードをクリックします。

   

5. ダウンロードした証明書パッケージを解凍します。

   次の表に、パッケージから抽出できるファイルを示します。 ファイルは、証明書申請書の送信時に使用する証明書署名要求 (CSR) の生成方法によって異なります。

   CSR生成パラメータの値	証明書パッケージから抽出されたファイル
   システム生成	PEM形式の証明書ファイル: NGINXサーバーはPEMファイルをサポートしています。 PEM形式の証明書ファイルは、完全な証明書チェーンを含むBase64-encodedテキストファイルです。 解凍後、ファイルの名前は証明書ID_Domain name bound to The Certificate形式で指定されます。 key形式の秘密鍵ファイル:デフォルトでは、秘密鍵ファイルの名前は証明書にバインドされたドメイン名形式を指定します。
   手動で入力する	証明書管理サービスコンソールで作成されるCSRを指定した場合、ダウンロードした証明書パッケージから抽出される証明書ファイルは、CSR生成をシステム生成に設定したシナリオで取得される証明書ファイルと同じになります。 指定されたCSRが証明書管理サービスコンソールで作成されていない場合は、ダウンロードした証明書パッケージからPEM証明書ファイルのみを抽出できます。 パスワードファイルまたは秘密鍵ファイルを抽出できません。 証明書ツールキットを使用して、証明書ファイル、パスワードファイル、または秘密鍵ファイルを必要な形式に変換できます。 証明書形式を変換する方法の詳細については、証明書の形式を変換する.

手順2: NGINXサーバーに証明書をインストールする

1. 次のコマンドを実行して、NGINXサーバーのconfディレクトリに証明書を格納するディレクトリを作成します。

   cd /usr/local/nginx/conf# NGINXサーバのデフォルトの構成ファイルディレクトリに移動します。 このディレクトリは、NGINXを手動でコンパイルしてインストールするときに使用されます。 デフォルトのNGINXインストールディレクトリを変更した場合, またはほかの方法でNGINXをインストールした場合は, 実際のディレクトリを指定してください。 
   mkdir cert# certという名前のディレクトリを作成します。

2. 証明書ファイルと秘密鍵ファイルをNGINXサーバの次のディレクトリにアップロードします。/usr/local/nginx/conf/cert.

   説明

   ファイルをアップロードするには、PuTTY、Xshell、WinSCPなどのリモートログオンツールのファイルアップロード機能を使用します。 Alibaba Cloud Elastic Compute Serviceインスタンスにファイルをアップロードする方法の詳細については、「Windowsインスタンスへのファイルのアップロードまたはダウンロード」または「Linuxインスタンスへのファイルのアップロード」をご参照ください。

3. nginxサーバーのNGINX. conf設定ファイルを開き、ファイル内の証明書関連の設定を変更します。

   1. 次のコマンドを実行して、設定ファイルを開きます。

      vim /usr/local/nginx/conf/nginx.conf

      重要

      デフォルトでは、nginx.conf設定ファイルは /usr/local/nginx/confディレクトリに格納されます。 nginx.conf設定ファイルを別の場所に移動した場合は、nginx -tコマンドを実行して設定ファイルへの新しいパスを取得し、/usr/local/nginx/conf/nginx.confを新しいパスに置き換えます。

   2. nginx.conf設定ファイルでサーバー設定項目を見つけます。

      

   3. 各行の先頭から# comment記号を削除し、次のサンプルコードに基づいて設定を変更します。

      サーバ {
           # デフォルトのHTTPSポート443を指定します。 
           # デフォルトのHTTPSポートを指定しないと、NGINXサービスの起動に失敗することがあります。 
           listen 443 ssl;
           
           # 証明書にバインドされているドメイン名を入力します。
           server_name <yourdomain>;
       
           # 証明書ファイルへの絶対パスを入力します。
           ssl_certificate cert/<cert-file-name>.pem;
           # 秘密鍵ファイルへの絶対パスを入力します。
           ssl_certificate_key cert/<cert-file-name>.key;
       
           ssl_session_cache shared:SSL:1m;
           ssl_session_timeout 5m;
      	 
           # 使用するトランスポート層セキュリティ (TLS) プロトコルとカスタム暗号スイートを指定します。 次のサンプルコードは参考用です。
           # 後のTLSバージョンでは、セキュリティは高くなりますが、ブラウザとの互換性は低くなります。 
           ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
           ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;
      
           # サーバー側の暗号スイートが優先的に使用されます。 デフォルト値はonです。
           ssl_prefer_server_ciphers on;
       
       
          場所/{
                 root html;
                 index index.html index.htm;
          }
      }

   4. オプションです。 HTTPリクエストをHTTPSリクエストに自動的にリダイレクトするように設定します。

      すべてのHTTPリクエストをHTTPSリクエストにリダイレクトする場合は、設定ファイルに書き換えディレクティブを追加できます。

      重要

      nginx.conf設定ファイルのserver {} 設定項目に次の設定項目を追加する必要があります。 リダイレクト設定を設定した後、nginx.confファイルに2つのserver {} 設定項目が含まれます。

      サーバ {
          listen 80;
          # 証明書にバインドされているドメイン名を入力します。
          server_name <yourdomain>;
          # 書き換えディレクティブを追加して、すべてのHTTPリクエストをHTTPSリクエストにリダイレクトします。 
          書き換え ^(.*)$ https://$host$1;
          場所/{
              index index.html index.htm;
          }
      }

      次の図は、設定後の結果を示しています。

      

4. 次のコマンドを実行してNGINXサービスを再起動します。

   cd /usr/local/nginx/sbin# NGINXサービスの実行可能ディレクトリに移動します。 
   . /nginx -s reload# 設定ファイルをリロードします。

   説明

   • エラーで "ssl" パラメーターにngx_http_ssl_moduleが必要な場合は、NGINXを再コンパイルし、NGINXのインストール時に -- with-http_ssl_moduleを追加します。

   • エラーの場合"/cert/3970497_demo.aliyundoc.com.pem":BIO_new_file() に失敗しました (SSL: エラー: 02001002: システムライブラリ: fopen: そのようなファイルがありませんまたはディレクトリ: fopen('/cert/3970497_demo.aliyundoc.com.pem','r') エラー: 2006D080:BIOルーチン: BIO_new_file: そのようなファイルがありません)が報告されたら、スラッシュを削除します (/証明書ファイルへの相対パスの前にある たとえば、スラッシュを削除します (/相対パスの前にある/cert/cert-file-name.pem. 必要な相対パスはcert/cert-file-name.pemです。

ステップ3: 証明書がインストールされているかどうかを確認する

https:// yourdomain# yourdomainを証明書にバインドされているドメイン名に置き換えます。

アドレスバーにロックアイコンが表示された場合、証明書がインストールされます。