Alibaba Cloud OSS

So stellen Sie SSL-Zertifikate automatisch in einem Alibaba-Cloud-OSS-Bucket bereit.

Übersicht

AutoSSL kann SSL-Zertifikatsdateien automatisch in einen Bucket des Alibaba Cloud Object Storage Service (OSS) hochladen. Jedes Zertifikat wird unter einem versionierten Archivpfad abgelegt und zusätzlich unter einem Pfad latest/ aktualisiert. Nachgelagerte Systeme, zum Beispiel Nginx, Caddy oder eigene Skripte, können das aktuelle Zertifikat so leicht aus OSS beziehen.

Wie Sie diese Bereitstellung verwalten und ausführen, steht im Abschnitt Bereitstellungen verwalten.

Konfigurationsparameter

Wenn Sie dieses Bereitstellungsziel in der AutoSSL-Konsole hinzufügen oder bearbeiten, konfigurieren Sie die folgenden Parameter:

Parameter	Beschreibung	Beispiel
Region	Die Alibaba-Cloud-Region, in der der OSS-Bucket liegt.	`cn-hangzhou`
Bucket-Name	Name des OSS-Buckets, in den die Zertifikatsdateien hochgeladen werden.	`my-ssl-certs`
Objektpräfix	(Optional) Präfix zur Ablage der Zertifikatsdateien im Bucket. Wenn es gesetzt ist, werden die Dateien unter diesem Präfix hochgeladen. Ein abschließender Schrägstrich ist optional.	`certs/example.com/`

Funktionsweise

Wenn AutoSSL ein Zertifikat in einen OSS-Bucket bereitstellt, zum Beispiel my-ssl-certs in cn-hangzhou mit dem Präfix certs/example.com/, führt es diese Schritte aus:

Zertifikat vorbereiten:
- Teilt die vollständige Zertifikatskette in einzelne PEM-Dateien auf: cert.pem (Leaf-Zertifikat), privkey.pem (privater Schlüssel, PKCS#8), chain.pem (Zwischenzertifikate) und fullchain.pem (vollständige Kette).
- Erstellt eine Datei README.md mit Metadaten des Zertifikats und einem Link zu https://autossl.dev zur Nachverfolgung.
- Liest das Datum notBefore und den SHA1-Fingerabdruck und bildet daraus den Archivordner (Format: YYYY-MM-DD_<first 8 chars of SHA1>).
Dateien hochladen:
- Lädt die Zertifikatsdateien (vier PEM-Dateien und README.md) an zwei Pfade im Bucket hoch:
  - Archivpfad — certs/example.com/2026-05-30_e5f6a7b8/cert.pem (sowie privkey.pem, chain.pem, fullchain.pem, README.md). Dieser Pfad ist für jede Ausstellung eindeutig und wird nie überschrieben.
  - Pfad latest — certs/example.com/latest/cert.pem (sowie privkey.pem, chain.pem, fullchain.pem, README.md). Dieser Pfad enthält immer das zuletzt hochgeladene Zertifikat.

Über den Pfad latest/ können nachgelagerte Dienste das aktuelle Zertifikat immer unter einem festen OSS-Schlüssel abrufen. Ältere Zertifikate bleiben in ihren versionierten Archivordnern verfügbar.

Beispiel für die Bucket-Struktur

Nach mehreren Verlängerungen sieht die Struktur des Buckets so aus:

certs/example.com/
├── 2026-03-01_a1b2c3d4/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
├── 2026-05-30_e5f6a7b8/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
└── latest/
    ├── cert.pem
    ├── privkey.pem
    ├── chain.pem
    ├── fullchain.pem
    └── README.md

Format des privaten Schlüssels

privkey.pem liegt im Format PKCS#8 vor (-----BEGIN PRIVATE KEY-----). Moderne Webserver und Werkzeuge unterstützen dieses Format, darunter Nginx, Caddy, Traefik und OpenSSL 1.1+.

Wenn Ihre Umgebung PKCS#1 benötigt, zum Beispiel -----BEGIN RSA PRIVATE KEY----- für RSA-Schlüssel, konvertieren Sie die Datei vor der Verwendung lokal:

openssl rsa -in privkey.pem -out privkey-pkcs1.pem

Anforderungen an Zugriffsschlüssel

Für die OSS-API benötigt dieser Anbieter einen Alibaba-Cloud-Zugriffsschlüssel.

Erforderliche Berechtigungen

Der Zugriffsschlüssel muss zu einem RAM-Benutzer gehören, der Objekte in den Ziel-Bucket hochladen darf.

Hängen Sie dem Benutzer eine RAM-Richtlinie mit mindestens dieser Aktion für das Zielpräfix an:

oss:PutObject

Beispiel für eine minimale RAM-Richtlinie:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "oss:PutObject",
      "Resource": ["acs:oss:*:*:my-ssl-certs/certs/example.com/*"]
    }
  ]
}

Weitere Informationen zur Verwaltung von RAM-Berechtigungen finden Sie in der Alibaba-Cloud-RAM-Dokumentation.