ssl - 在将服务器添加到生产环境之前如何获取 Letsencrypt 证书

Question

我正在尝试在需要时自动为新服务器提供午餐，但在使服务器上线之前我在获取证书时遇到了一些困难。我想要做的是运行一个安装脚本，它准备好所有的包、网站和证书，然后将服务器添加到生产环境中。但是，Letsencrypt 要我验证请求证书的服务器实际上是回复请求的网站。在将服务器添加到生产环境之前如何获取 Letsencrypt 证书？在完全设置并获得证书之前，我不希望将对真实网站的请求路由到新服务器。

我想到的一个解决方案是将证书保存在 AWS S3 存储桶中，并在需要更新时同步它们。然后，当我设置新服务器时，我只是从我的 AWS S3 存储桶中获取最新的证书，并且在将服务器添加到生产环境之前，我不必担心从 CA 获取证书。但是这个解决方案似乎没有“clean”，并且需要我有一个 S3 存储桶来存放我的 Letsencrypt 证书，这也增加了另一个可能导致证书被盗的弱点。

有没有我还没有想到的更简单的解决方案？

Answer 1

在负载平衡 (LB) 场景中，您应该考虑让一个实体负责执行 LE 证书获取。多个实体异步执行此操作会使事情变得复杂 - 您需要能够保证 ACME challenges被路由到相关服务器，而您的 LB 没有该信息(没有额外的复杂性)。

所以我建议:

1. 在您的负载均衡器上终止 HTTPS。那么您的服务器都不需要关心 HTTPS 或证书。

2. 有一个“特殊”服务器负责与 LE 交互，然后将证书分发给其他服务器。你如何做的细节取决于实现，因为它取决于你如何管理服务器/服务配置。