Alibaba Cloud OSS

Como implantar automaticamente certificados SSL em um bucket OSS da Alibaba Cloud.

Visão geral

O AutoSSL pode enviar automaticamente arquivos de certificado SSL para um bucket do Alibaba Cloud Object Storage Service (OSS). Cada certificado fica arquivado em um caminho versionado e também é atualizado em um caminho latest/, para quem consome os arquivos (por exemplo, Nginx, Caddy ou scripts que baixam certificados do OSS) encontrar a versão atual com facilidade.

Para gerenciar e executar esta implantação, consulte Gerenciamento de implantações.

Parâmetros de configuração

Ao adicionar ou editar este alvo no console do AutoSSL, configure os parâmetros abaixo:

Parâmetro	Descrição	Exemplo
Região	A região da Alibaba Cloud em que o bucket OSS está.	`cn-hangzhou`
Nome do bucket	O nome do bucket OSS para o qual os arquivos de certificado serão enviados.	`my-ssl-certs`
Prefixo da chave do objeto	(Opcional) Prefixo para organizar os arquivos de certificado no bucket. Se informado, os arquivos ficam sob esse prefixo. A barra final é opcional.	`certs/example.com/`

Como funciona

Quando o AutoSSL implanta um certificado em um bucket OSS (por exemplo, my-ssl-certs em cn-hangzhou com o prefixo certs/example.com/), ele faz o seguinte:

Preparação do certificado:
- Separa a cadeia completa em arquivos PEM individuais: cert.pem (certificado folha), privkey.pem (chave privada, codificada em PKCS#8), chain.pem (cadeia intermediária) e fullchain.pem (cadeia completa).
- Gera um arquivo README.md com metadados do certificado e um link para https://autossl.dev, para rastreabilidade.
- Lê a data notBefore e a impressão digital SHA1 do certificado para montar o nome do diretório de arquivo (formato: YYYY-MM-DD_<first 8 chars of SHA1>).
Envio dos arquivos:
- Envia os arquivos de certificado (quatro arquivos PEM e o README.md) para dois caminhos no bucket:
  - Caminho de arquivo — certs/example.com/2026-05-30_e5f6a7b8/cert.pem (e privkey.pem, chain.pem, fullchain.pem, README.md). Esse caminho é único para cada emissão e nunca é sobrescrito.
  - Caminho latest — certs/example.com/latest/cert.pem (e privkey.pem, chain.pem, fullchain.pem, README.md). Esse caminho sempre aponta para o certificado enviado por último.

O caminho latest/ permite que os serviços seguintes busquem sempre o certificado atual em uma chave OSS fixa. Os certificados anteriores continuam disponíveis nos diretórios versionados.

Exemplo de estrutura do bucket

Depois de várias renovações, a estrutura do bucket fica assim:

certs/example.com/
├── 2026-03-01_a1b2c3d4/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
├── 2026-05-30_e5f6a7b8/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
└── latest/
    ├── cert.pem
    ├── privkey.pem
    ├── chain.pem
    ├── fullchain.pem
    └── README.md

Formato da chave privada

privkey.pem usa o formato PKCS#8 (-----BEGIN PRIVATE KEY-----). Servidores e ferramentas modernos aceitam esse formato (Nginx, Caddy, Traefik, OpenSSL 1.1+ e outros).

Se o ambiente exigir PKCS#1 (por exemplo, -----BEGIN RSA PRIVATE KEY----- para chaves RSA), converta localmente antes de usar:

openssl rsa -in privkey.pem -out privkey-pkcs1.pem

Requisitos da chave de acesso

Para falar com a API do OSS, este provedor exige uma chave de acesso da Alibaba Cloud.

Permissões necessárias

A chave de acesso precisa pertencer a um usuário RAM com permissão para enviar objetos ao bucket OSS de destino.

Anexe ao usuário uma política RAM com pelo menos esta ação no prefixo do bucket:

oss:PutObject

Exemplo de política RAM mínima:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "oss:PutObject",
      "Resource": ["acs:oss:*:*:my-ssl-certs/certs/example.com/*"]
    }
  ]
}

Para saber como gerenciar permissões do RAM, consulte a documentação do RAM da Alibaba Cloud.