Google Cloud Storage

概览

AutoSSL 可以把 SSL 证书文件自动上传到 Google Cloud Storage 存储桶。每张证书都会写入带版本的归档路径，并同步更新 latest/ 路径，方便下游系统（例如 Nginx、Caddy，或从 Cloud Storage 拉取证书的自定义脚本）获取当前证书。

如何管理和运行此部署，请参见部署管理。

配置参数

在 AutoSSL 控制台添加或编辑此部署目标时，需要配置以下参数：

参数	说明	示例
存储桶名称	要上传证书文件的 Cloud Storage 存储桶名称。	`my-ssl-certs`
对象键前缀	（可选）用于在存储桶中整理证书文件的前缀。设置后，文件会上传到该前缀下。末尾的斜杠可有可无。	`certs/example.com/`

工作原理

AutoSSL 把证书部署到 Cloud Storage 存储桶（例如 my-ssl-certs（前缀 certs/example.com/））时，会执行以下步骤：

准备证书：
- 将完整证书链拆成单独的 PEM 文件：cert.pem（叶子证书）、privkey.pem（私钥，PKCS#8 编码）、chain.pem（中间证书链）和 fullchain.pem（完整证书链）。
- 生成包含证书元数据的 README.md，并附上 https://autossl.dev 链接，便于追溯。
- 解析证书的 notBefore 日期和 SHA1 指纹，生成归档目录名（格式：YYYY-MM-DD_<first 8 chars of SHA1>）。
上传文件：
- 把证书文件（四个 PEM 文件和 README.md）上传到存储桶中的 两个路径：
  - 归档路径 — certs/example.com/2026-05-30_e5f6a7b8/cert.pem（以及 privkey.pem、chain.pem、fullchain.pem、README.md）。每次签发都使用唯一路径，不会被覆盖。
  - 最新路径 — certs/example.com/latest/cert.pem（以及 privkey.pem、chain.pem、fullchain.pem、README.md）。此路径始终是最近一次上传的证书。

下游服务可以通过固定的对象键从 latest/ 路径获取当前证书。历史证书仍保留在各自的版本归档目录中。

存储桶结构示例

多次续期后，存储桶结构类似这样：

certs/example.com/
├── 2026-03-01_a1b2c3d4/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
├── 2026-05-30_e5f6a7b8/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
└── latest/
    ├── cert.pem
    ├── privkey.pem
    ├── chain.pem
    ├── fullchain.pem
    └── README.md

私钥格式

privkey.pem 使用 PKCS#8 格式（-----BEGIN PRIVATE KEY-----）。现代 Web 服务器和工具（Nginx、Caddy、Traefik、OpenSSL 1.1+ 等）普遍支持此格式。

如果环境需要 PKCS#1 格式（例如 RSA 密钥的 -----BEGIN RSA PRIVATE KEY-----），请在本地转换后再使用：

openssl rsa -in privkey.pem -out privkey-pkcs1.pem

访问密钥要求

要调用 Cloud Storage 的 S3 兼容 API，此服务商需要 Google Cloud Storage HMAC 凭证。

所需权限

HMAC 密钥必须关联到有权向目标存储桶上传对象的服务账号。

需要为该服务账号授予目标存储桶上至少以下 IAM 角色（或具备同等权限的自定义角色）：

roles/storage.objectCreator（或 storage.objects.create 权限）

最小自定义 IAM 角色权限示例：

storage.objects.create

关于如何管理 IAM 权限，请参见 Google Cloud IAM 文档。