Alibaba Cloud OSS

Comment déployer automatiquement des certificats SSL vers un bucket Alibaba Cloud OSS.

Vue d’ensemble

AutoSSL peut envoyer automatiquement les fichiers de certificat SSL vers un bucket Alibaba Cloud Object Storage Service (OSS). Chaque certificat est archivé dans un chemin versionné et mis à jour sous un chemin latest/, afin que les services en aval le trouvent facilement (par exemple Nginx, Caddy ou des scripts qui récupèrent les certificats depuis OSS).

Pour gérer et lancer ce déploiement, consultez la section Gestion des déploiements.

Paramètres de configuration

Lorsque vous ajoutez ou modifiez cette cible de déploiement dans la console AutoSSL, renseignez les paramètres suivants :

Paramètre	Description	Exemple
Région	Région Alibaba Cloud dans laquelle se trouve le bucket OSS.	`cn-hangzhou`
Nom du bucket	Nom du bucket OSS vers lequel envoyer les fichiers de certificat.	`my-ssl-certs`
Préfixe de clé d’objet	(Facultatif) Préfixe pour ranger les fichiers de certificat dans le bucket. S’il est défini, les fichiers sont envoyés sous ce préfixe. La barre oblique finale est facultative.	`certs/example.com/`

Fonctionnement

Lorsque AutoSSL déploie un certificat vers un bucket OSS (par exemple my-ssl-certs dans cn-hangzhou, avec le préfixe certs/example.com/), il procède ainsi :

Préparation du certificat :
- Découpe la chaîne complète en fichiers PEM distincts : cert.pem (certificat feuille), privkey.pem (clé privée encodée en PKCS#8), chain.pem (chaîne intermédiaire) et fullchain.pem (chaîne complète).
- Génère un fichier README.md avec les métadonnées du certificat et un lien vers https://autossl.dev, pour pouvoir le retrouver.
- Lit la date notBefore et l’empreinte SHA1 du certificat afin de nommer le répertoire d’archive (format : YYYY-MM-DD_<first 8 chars of SHA1>).
Envoi des fichiers :
- Envoie les fichiers du certificat (quatre fichiers PEM et README.md) vers deux chemins dans le bucket :
  - Chemin d’archive — certs/example.com/2026-05-30_e5f6a7b8/cert.pem (ainsi que privkey.pem, chain.pem, fullchain.pem et README.md). Ce chemin est propre à chaque émission et n’est jamais écrasé.
  - Chemin latest — certs/example.com/latest/cert.pem (ainsi que privkey.pem, chain.pem, fullchain.pem et README.md). Ce chemin correspond toujours au dernier certificat envoyé.

Le chemin latest/ permet aux services en aval de toujours récupérer le certificat courant depuis une clé d’objet OSS fixe. Les certificats précédents restent accessibles dans leurs répertoires d’archive versionnés.

Exemple de structure du bucket

Après plusieurs renouvellements, la structure ressemble à ceci :

certs/example.com/
├── 2026-03-01_a1b2c3d4/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
├── 2026-05-30_e5f6a7b8/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
└── latest/
    ├── cert.pem
    ├── privkey.pem
    ├── chain.pem
    ├── fullchain.pem
    └── README.md

Format de clé privée

privkey.pem est encodé au format PKCS#8 (-----BEGIN PRIVATE KEY-----). Les serveurs et outils récents le prennent en charge (Nginx, Caddy, Traefik, OpenSSL 1.1+, etc.).

Si votre environnement exige le format PKCS#1 (par exemple -----BEGIN RSA PRIVATE KEY----- pour une clé RSA), convertissez-le localement avant de l’utiliser :

openssl rsa -in privkey.pem -out privkey-pkcs1.pem

Clé d’accès requise

Pour appeler l’API OSS, ce fournisseur exige une clé d’accès Alibaba Cloud.

Autorisations requises

La clé d’accès doit appartenir à un utilisateur RAM autorisé à envoyer des objets vers le bucket OSS cible.

Attachez à cet utilisateur une politique RAM qui autorise au minimum l’action suivante sur le préfixe du bucket cible :

oss:PutObject

Exemple de politique RAM minimale :

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "oss:PutObject",
      "Resource": ["acs:oss:*:*:my-ssl-certs/certs/example.com/*"]
    }
  ]
}

Pour gérer les autorisations RAM, consultez la documentation RAM d’Alibaba Cloud.