自动化 SSL 证书管理

概览

AutoSSL 可以把 SSL 证书文件自动上传到 Amazon S3 存储桶。每张证书都会写入带版本的归档路径，并同步更新 latest/ 路径，方便下游系统（例如 Nginx、Caddy，或从 S3 拉取证书的自定义脚本）获取当前证书。

如何管理和运行此部署，请参见部署管理。

配置参数

在 AutoSSL 控制台添加或编辑此部署目标时，需要配置以下参数：

参数	说明	示例
区域	S3 存储桶所在的 AWS 区域。	`us-east-1`
存储桶名称	要上传证书文件的 S3 存储桶名称。	`my-ssl-certs`
对象键前缀	（可选）用于在存储桶中整理证书文件的前缀。设置后，文件会上传到该前缀下。末尾的斜杠可有可无。	`certs/example.com/`

工作原理

AutoSSL 把证书部署到 AWS S3 存储桶（例如 my-ssl-certs（us-east-1，前缀 certs/example.com/））时，会执行以下步骤：

准备证书：
- 将完整证书链拆成单独的 PEM 文件：cert.pem（叶子证书）、privkey.pem（私钥，PKCS#8 编码）、chain.pem（中间证书链）和 fullchain.pem（完整证书链）。
- 生成包含证书元数据的 README.md，并附上 https://autossl.dev 链接，便于追溯。
- 解析证书的 notBefore 日期和 SHA1 指纹，生成归档目录名（格式：YYYY-MM-DD_<first 8 chars of SHA1>）。
上传文件：
- 把证书文件（四个 PEM 文件和 README.md）上传到存储桶中的 两个路径：
  - 归档路径 — certs/example.com/2026-05-30_e5f6a7b8/cert.pem（以及 privkey.pem、chain.pem、fullchain.pem、README.md）。每次签发都使用唯一路径，不会被覆盖。
  - 最新路径 — certs/example.com/latest/cert.pem（以及 privkey.pem、chain.pem、fullchain.pem、README.md）。此路径始终是最近一次上传的证书。

下游服务可以通过固定的 S3 对象键从 latest/ 路径获取当前证书。历史证书仍保留在各自的版本归档目录中。

存储桶结构示例

多次续期后，存储桶结构类似这样：

certs/example.com/
├── 2026-03-01_a1b2c3d4/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
├── 2026-05-30_e5f6a7b8/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
└── latest/
    ├── cert.pem
    ├── privkey.pem
    ├── chain.pem
    ├── fullchain.pem
    └── README.md

私钥格式

privkey.pem 使用 PKCS#8 格式（-----BEGIN PRIVATE KEY-----）。现代 Web 服务器和工具（Nginx、Caddy、Traefik、OpenSSL 1.1+ 等）普遍支持此格式。

如果环境需要 PKCS#1 格式（例如 RSA 密钥的 -----BEGIN RSA PRIVATE KEY-----），请在本地转换后再使用：

openssl rsa -in privkey.pem -out privkey-pkcs1.pem

访问密钥要求

要调用 AWS API，此服务商需要 AWS 访问密钥。

所需权限

访问密钥必须属于有权向目标 S3 存储桶上传对象的 AWS IAM 用户。

需要为该用户附加 IAM 策略，至少对目标存储桶前缀包含以下操作：

s3:PutObject

最小 IAM 策略示例：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::my-ssl-certs/certs/example.com/*"
    }
  ]
}

关于如何管理 IAM 权限，请参见 AWS IAM 文档。

AWS S3