在Apache服务器安装SSL证书

前提条件

• 已通过数字证书管理服务控制台签发证书。具体操作，请参见购买SSL证书（额度）和提交证书申请。

• SSL证书绑定的域名已完成DNS解析，即您的域名已正确映射到主机IP地址。您可以通过控制台常用证书工具中的DNS生效验证，检测域名DNS解析是否生效。具体操作，请参见DNS生效验证。

• 已在Web服务器开放443端口（HTTPS通信的标准端口）。

  • 如果您使用的是阿里云ECS服务器，请确保已经在安全组规则入方向添加TCP 443端口。具体操作，请参见管理安全组规则。

  • 如果您使用的是其他云服务商或本地服务器，请确保在防火墙或安全组中开启TCP 443端口。

• 如果待部署SSL证书的网站计划部署在中国内地，则您需要按照工信部的相关要求完成ICP备案，否则将影响网站的正常访问。更多信息，请参见什么是ICP备案。

• 已在Apache服务器安装mod_ssl.so模块（启用SSL功能）。

  如未安装，可执行sudo yum install -y mod_ssl命令安装。安装后，可执行httpd -M | grep 'ssl'检查mod_ssl.so是否安装成功。安装成功效果如下图：

  

步骤一：下载SSL证书

1. 登录数字证书管理服务控制台。

2. 在左侧导航栏，选择证书管理 > SSL证书管理。

3. 在SSL证书管理页面，定位到目标证书，在操作列，单击更多，然后选择下载页签。

4. 如下图所示，下载Apache服务器对应的证书文件。

   

5. 解压缩已下载的SSL证书压缩包。

   根据您在提交证书申请时选择的CSR生成方式，解压缩获得的文件不同，具体如下表所示。

   CSR生成方式	证书压缩包包含的文件

   CSR生成方式	证书压缩包包含的文件
   系统生成	证书文件（CRT格式）：默认以证书绑定域名_public命名。CRT格式的证书文件是采用Base64编码的文本文件。 证书链文件（CRT格式）：默认以证书绑定域名_chain命名。 私钥文件（KEY格式）：默认以证书绑定域名命名。
   手动填写	如果您填写的是通过数字证书管理服务控制台创建的CSR，下载后包含的证书文件与系统生成的一致。 如果您填写的不是通过数字证书管理服务控制台创建的CSR，下载后只包括证书文件（PEM格式），不包含证书密码或私钥文件。您可以通过证书工具，将证书文件和您持有的证书密码或私钥文件转换成所需格式。转换证书格式的具体操作，请参见证书格式转换。

步骤二：在Apache服务器安装证书

1. 执行以下命令，在Apache服务器的安装目录下创建一个用于存放证书文件的目录。

   # cert目录仅为示例，证书存放目录没有命名限制。
   sudo mkdir /etc/httpd/cert

   说明

   /etc/httpd/ 是使用yum方式安装Apache服务器时默认安装目录。如果您手动修改过该目录或使用其他方式安装的Apache服务器，请根据实际配置调整。

2. 将证书文件和私钥文件上传至您创建的用于存放证书文件的目录下。

   说明

   您可以使用远程登录工具附带的本地文件上传功能，上传文件。例如PuTTY、Xshell或WinSCP等。如果您使用的是阿里云云服务器 ECS，上传文件具体操作，请参见使用远程桌面或Windows APP向Windows实例传输文件或上传文件到Linux云服务器。

3. 为确保Apache服务器能够正常启用SSL模块，请按以下步骤修改对应的配置文件：

   • 找到/etc/httpd/conf.modules.d/00-ssl.conf文件，修改LoadModule ssl_module modules/mod_ssl.so配置项，若前面有#号，需移除以取消注释，修改后保存文件。

     

   • 找到/etc/httpd/conf/httpd.conf文件，修改Include conf.modules.d/*.conf配置项，若前面有#号，需移除以取消注释，修改后保存文件。

     

   需要注意的是，上述配置项所在文件的具体位置可能会因系统版本或安装方式而有所不同。为了找到这些配置的确切位置，您可以使用grep 命令来在Linux系统上查找包含特定文本的所有文件。

   #查找包含LoadModule ssl_module的所有文件。
   sudo grep -r "LoadModule ssl_module" /etc/httpd/

   

   #查找包含Include conf.modules.d的所有文件。
   sudo grep -r "Include conf.modules.d" /etc/httpd/

   

   重要

   如果仍未找到以上参数，请确认您的Apache服务器中是否已经安装mod_ssl.so模块。如未安装，可执行sudo yum install -y mod_ssl命令安装，安装后，可执行httpd -M | grep 'ssl'命令检查mod_ssl.so模块是否安装成功。

4. 修改与证书相关的配置。

   1. 执行以下命令，打开ssl.conf。

      sudo vim /etc/httpd/conf.d/ssl.conf

      重要

      ssl.conf文件在不同操作系统的位置和名称不一样，在没有ssl.conf文件的情况下，请您查看Apache服务器安装目录是否存在conf/extra/http-ssl.conf配置文件。

   2. 在ssl.conf配置文件中，定位到以下参数，按照中文注释修改。

      安装单域名或多域名证书配置文件

      安装通配符域名证书配置文件

      <VirtualHost *:443> 
       ServerName example.com # 修改为申请证书时绑定的域名。 
       SSLCertificateFile cert/domain_name_public.crt # 将domain_name_public.crt替换成您证书文件名。
       SSLCertificateKeyFile cert/domain_name.key # 将domain_name.key替换成您证书的密钥文件名。
       SSLCertificateChainFile cert/domain_name_chain.crt # 将domain_name_chain.crt替换成您证书的证书链文件名。
       
       #自定义设置使用的TLS协议的类型以及加密套件（以下为配置示例，请您自行评估是否需要配置）
       #TLS协议版本越高，HTTPS通信的安全性越高，但是相较于低版本TLS协议，高版本TLS协议对浏览器的兼容性较差。
       #SSLProtocol all -SSLv2 -SSLv3 # 添加SSL协议支持协议，去掉不安全的协议。
       #SSLCipherSuite HIGH:!RC4:!MD5:!aNULL:!eNULL:!NULL:!DH:!EDH:!EXP:+MEDIUM # 修改加密套件。
      </VirtualHost>
      
      #如果证书包含多个域名，复制VirtualHost参数，并将ServerName修改为第二个域名。 
      <VirtualHost *:443> 
       ServerName example2.com#修改为申请证书时绑定的第二个域名。 
       SSLCertificateFile cert/domain_name2_public.crt # 将domain_name2替换成您申请证书时的第二个域名。
       SSLCertificateKeyFile cert/domain_name2.key # 将domain_name2替换成您申请证书时的第二个域名。
       SSLCertificateChainFile cert/domain_name2_chain.crt # 将domain_name2替换成您申请证书时的第二个域名。
       
       SSLEngine on 
       SSLHonorCipherOrder on
       #自定义设置使用的TLS协议的类型以及加密套件（以下为配置示例，请您自行评估是否需要配置）
       #TLS协议版本越高，HTTPS通信的安全性越高，但是相较于低版本TLS协议，高版本TLS协议对浏览器的兼容性较差。
       #SSLProtocol all -SSLv2 -SSLv3 # 添加SSL协议支持协议，去掉不安全的协议。
       #SSLCipherSuite HIGH:!RC4:!MD5:!aNULL:!eNULL:!NULL:!DH:!EDH:!EXP:+MEDIUM # 修改加密套件。
      </VirtualHost>

      <VirtualHost _default_:443>
      
      #自定义设置使用的TLS协议的类型以及加密套件（以下为配置示例，请您自行评估是否需要修改）
      #TLS协议版本越高，HTTPS通信的安全性越高，但是相较于低版本TLS协议，高版本TLS协议对浏览器的兼容性较差
      SSLProtocol all -SSLv2 -SSLv3
      SSLCipherSuite HIGH:3DES:!aNULL:!MD5:!SEED:!IDEA
      
      #将domain_name_public.crt替换成您证书文件名。
      SSLCertificateFile /etc/httpd/cert/domain_name_public.crt 
      
      #将domain_name.key替换成您证书的私钥文件名。
      SSLCertificateKeyFile /etc/httpd/cert/domain_name.key
      
      #将domain_name_chain.crt替换成您证书的证书链文件名。
      SSLCertificateChainFile /etc/httpd/cert/domain_name_chain.crt
      
      </VirtualHost>

      重要

      如果您要在Apache服务器安装多域名SSL证书，请关注您的浏览器版本是否支持SNI功能。如果不支持，多域名证书配置将无法生效。

5. 可选：请根据您的业务需要，在/etc/httpd/conf/httpd.conf文件中添加以下重定向代码，设置HTTP请求自动跳转到HTTPS。

   RewriteEngine on
   RewriteCond %{SERVER_PORT} !^443$
   RewriteRule ^(.*)$ https://%{SERVER_NAME}$1 [L,R]

6. 执行以下命令，重启Apache服务器，使修改后配置文件生效，确保SSL模块被正常启用。

   sudo systemctl restart httpd 

步骤三：验证SSL证书是否安装成功

https://yourdomain   #需要将yourdomain替换成证书绑定的域名。

相关文档

• 根据浏览器错误提示解决证书部署问题

• SSL证书部署故障自助排查指南

• SSL证书部署后未生效或访问网站显示不安全

• Apache安装SSL证书后重启时报错