# 快速申请和使用OV型SSL证书 您的网站使用SSL证书后，将会通过HTTPS加密协议来传输数据，可帮助服务器端和客户端之间建立加密链接，从而保证数据传输的安全。 #### 操作场景 - 云证书与管理服务（Cloud Certificate \& Manager，CCM）提供了域名证书和IP证书两种服务类型的SSL证书，您可以根据需要进行选购。域名证书的类型包括DV、OV、EV三种类型，其中，OV泛域名类型SSL证书适用范围较广，可以为所有子域名提供加密保护，广泛应用于外交部、国家电网、华为云等。 - 本指南以申请GlobalSign品牌、泛域名、OV型SSL证书为例，指导您通过云证书与管理服务快速申请和使用SSL证书。 - 泛域名证书只能保护同一级别的子域名，例如二级泛域名\*.example.com可以保护test.example.com，但是无法保护test.test.example.com这样的三级子域名。 #### 操作流程 | 操作步骤 | 说明 | |:---|:---| | [准备工作] | 注册华为账号并开通华为云，实名认证，为账户充值，以及为IAM用户授权。 | | [步骤一：购买SSL证书] | 配置SSL证书的购买参数，购买OV型SSL证书。 | | [步骤二：申请SSL证书] | 成功购买证书后，为证书绑定域名、填写证书申请人的详细信息并提交审核。 | | [步骤三：域名验证] | 证书提交申请后，配置域名验证信息，进行域名授权验证，来证明您对所申请绑定的域名的所有权。 | | [步骤四：组织验证] | 域名验证完成后，配合CA机构确认企业/组织是否发起了此次的证书订单申请。 | | [步骤五：签发SSL证书] | 组织验证完成后，CA机构将人工审核证书信息，审核通过后，将会签发证书。 | | [步骤六：使用OV型SSL证书] | 证书申请完成后，您可以根据业务需要一键部署证书到华为云其他云产品或下载证书并部署到服务器上进行使用。 | #### 准备工作 1. 注册账号并实名认证。 在购买证书之前，请先[注册华为账号并开通华为云](https://support.huaweicloud.com/usermanual-account/account_id_001.html)、[实名认证](https://support.huaweicloud.com/usermanual-account/zh-cn_topic_0071343161.html)。 2. 请保证账户有足够的资金，以避免购买证书失败。具体操作请参见[账户充值](https://support.huaweicloud.com/usermanual-billing/bills-topic_30000002.html)。 3. 请确保购买证书的账号拥有"SCM Administrator"/"SCM FullAccess"、"BSS Administrator"和"DNS Administrator"权限。 - BSS Administrator：费用中心、资源中心、账号中心的所有执行权限。项目级角色，在同项目中勾选。 - DNS Administrator：云解析服务（DNS）的所有执行权限。 具体操作请参见[权限管理](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0012.html#section1)。 4. 若待部署SSL证书的网站计划部署在中国内地，需按工信部要求完成ICP备案，否则可能影响网站的正常访问。 #### 步骤一：购买SSL证书 1. 登录[云证书与管理服务控制台](https://console.huaweicloud.com/ccm/?locale=zh-cn)。 2. 单击页面左上方的![](https://support.huaweicloud.com/qs-ccm/zh-cn_image_0000002072696544.png)，选择"安全与合规 \> 云证书与管理服务 CCM"，进入云证书与管理服务的SSL证书管理页面。 3. 在SSL证书管理页面右上角，单击"购买证书"，进入购买证书页面。 4. 在购买证书页面，配置如下购买参数，参数配置后如[图1]所示。 表1购买OV型SSL证书参数设置 | 参数 | 示例 | 说明 | |:---|:---|:---| | 计费模式 | 一次性 | SSL证书属于一次性计费产品。 | | 服务类型 | SSL证书-域名证书 | - | | 域名类型 | 泛域名 | 域名证书支持绑定"单域名"、"多域名"或"泛域名"，请根据实际需求进行选择。更多信息，请参见[证书支持的域名类型](https://support.huaweicloud.com/productdesc-ccm/ccm_01_0219.html#section2)。 | | 域名数量 | 1个 | - 域名类型为"单域名"和"泛域名"时，域名数量固定为1个。 - 域名类型为"多域名"时，域名数量范围为"2\~250"，请根据实际需求设置域名数量。 | | 证书类型 | OV | CCM提供OV、DV、EV三种类型的SSL证书，不同证书类型适用的应用场景、信任等级和安全性不同，具体区别，请参见[证书类型](https://support.huaweicloud.com/productdesc-ccm/ccm_01_0219.html#section0)。 | | 证书品牌 | GlobalSign | CCM支持的证书品牌包括"GeoTrust"、"DigiCert"、"GlobalSign"、"CFCA（国产）"和"vTrus（国产）"。 CCM支持的证书品牌包括"DigiCert"、"GeoTrust"和"GlobalSign"。 各品牌支持签发的证书类型，请参见[证书品牌](https://support.huaweicloud.com/productdesc-ccm/ccm_01_0219.html#section1)。 | | 区域 | 全区域可用 | - | | 订阅周期 | 1年 | 根据需求选择SSL证书的订阅周期，购买周期越长，享受的折扣越大。 | | 企业项目 | default | 仅当使用企业类型的账号购买SSL证书时，会显示该参数。 用于按项目统一管理云资源。 | | 购买量 | 1个 | 根据实际需求设置数值。 | | 标签 | 暂不添加 | 标签用于标识SSL证书，方便分类及管理云资源。 | 图1购买OV型SSL证书参数设置 ![](https://support.huaweicloud.com/qs-ccm/zh-cn_image_0000002532020250.png "点击放大") 5. 确认参数配置无误后，在页面右下角，单击"立即购买"。 6. 确认订单无误后，阅读并勾选"我已阅读并同意《云证书与管理服务（CCM）免责声明》"，单击"去支付"。 7. 在购买页面，请选择付款方式进行付款。 成功付款后，可以在"SSL证书管理 \> SSL证书列表"，查看已购买的证书。 #### 步骤二：申请SSL证书 成功购买证书后，您需要申请证书，即为证书绑定域名、填写证书申请人的详细信息并提交审核。所有信息通过审核后，证书颁发机构才签发证书。 1. 登录[云证书与管理服务控制台](https://console.huaweicloud.com/ccm/?locale=zh-cn)。 2. 单击页面左上方的![](https://support.huaweicloud.com/qs-ccm/zh-cn_image_0000002247767676.png)，选择"安全与合规 \> 云证书与管理服务 CCM"，进入云证书与管理服务的SSL证书管理页面。 3. 在SSL证书列表待申请证书所在行的"操作"列，单击"申请证书"，系统从右侧弹出申请证书详细页面。 图2申请证书 ![](https://support.huaweicloud.com/qs-ccm/zh-cn_image_0000002563062533.png "点击放大") 4. 在弹出申请证书详细页面中，填写域名、企业组织和申请人等信息，参数填写说明请参见[提交SSL证书申请](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0075.html)。 图3申请证书详细页面 ![](https://support.huaweicloud.com/qs-ccm/zh-cn_image_0000002264879976.png "点击放大") 5. 确认填写信息无误后，阅读《云证书与管理服务（CCM）免责声明》、《隐私政策声明》和信息授权声明，并勾选声明内容前面的勾选框。 6. 单击"提交申请"。 系统会将您的申请提交到CA认证机构，请您保持电话畅通，并及时查阅邮箱中来自CA认证机构的电子邮件。 #### 步骤三：域名验证 提交SSL证书申请后，CA颁发机构将在2-3个工作日内对您提交的申请进行处理并给您填写的邮箱发送一封验证邮件。您需要按照要求进行域名验证，来证明您对所申请绑定的域名的所有权。本指南以DNS验证为例进行说明。 1. 登录[云证书与管理服务控制台](https://console.huaweicloud.com/ccm/?locale=zh-cn)。 2. 单击页面左上方的![](https://support.huaweicloud.com/qs-ccm/zh-cn_image_0000002247607852.png)，选择"安全与合规 \> 云证书与管理服务 CCM"，进入云证书与管理服务的SSL证书管理页面。 3. 在SSL证书列表中待申请证书所在行的"操作"列，单击"域名验证"，系统从右侧弹出域名验证详细页面。 图4域名验证 ![](https://support.huaweicloud.com/qs-ccm/zh-cn_image_0000002563023029.png "点击放大") 4. 在证书的域名验证页面，查看并记录"主机记录"、"记录类型"和"记录值"，如[图5]所示。 如果界面未显示，则请登录邮箱（申请证书时填写的邮箱）进行查看。 图5查看主机记录 ![](https://support.huaweicloud.com/qs-ccm/zh-cn_image_0000002563066455.png "点击放大") 5. 前往您绑定域名的DNS解析服务商，添加一条解析记录，具体操作请参见[手动DNS验证](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0078.html)。 6. 查看域名验证是否生效，具体操作请参见[手动DNS验证](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0078.html)。如果DNS验证配置未生效，请根据[DNS问题排查处理](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0078.html#section5)进行排除修改，直至验证生效。 7. DNS验证结果审核。 域名验证操作完成后，CA机构需要2-3个工作日对您提交的信息进行验证，请您耐心等待。审核通过后才可以进行下一步"组织验证"。 #### 步骤四：组织验证 申请OV型SSL证书时，域名验证完成后，CA机构将向企业对外公示的联系方式（非系统中填写的联系人邮箱）发送一封组织验证邮件。CA机构将根据您选择的验证方式与企业/组织进行联系，确认企业/组织是否发起了此次的证书订单申请。 - 13个月内再次购买同一品牌的证书且信息无更改，将免组织验证即人工审核。 - 组织验证完成后，CA机构将还需要一段时间进行处理，请您耐心等待。 1. 登录您在申请证书时填写的联系人邮箱。 2. 打开来自CA机构的组织验证邮件。 3. 回复CA机构的邮件以选择组织验证方式。 4. 请您留意所选择的验证方式，配合CA机构进行处理。 #### 步骤五：签发SSL证书 SSL证书审核时间取决于您和CA机构之间的配合。CA机构将通过您预留的邮箱和电话与您进行联系，请留意您在申请证书时预留的邮箱和电话。 一般情况下，对于OV型SSL证书在确认完成组织验证后，CA机构将人工审核信息，在信息正确的情况下审核周期一般为3～5个工作日。CA机构审核通过后，将会签发证书，证书签发后便立即生效，OV型SSL证书申请完成。 #### 步骤六：使用OV型SSL证书 证书申请完成后，您可以根据业务需要一键部署证书到华为云其他云产品或下载证书并部署到服务器上进行使用。下载证书操作请参见[下载证书](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0027.html)。如下以[场景一：部署SSL证书到WAF]或[场景二：在Nginx服务器上安装SSL证书]为例进行说明。更多云产品或服务器安装部署步骤请参见[在服务端安装/部署SSL证书](https://support.huaweicloud.com/usermanual-ccm/ccm_03_0015.html)。 - [场景一：部署SSL证书到WAF] 当流量经过Web应用防火墙（WAF）并需要通过HTTPS协议进行加密时，需要将SSL证书部署到WAF上，尤其是在采用如"CDN → WAF → 源站"等多节点架构时。这可以防止攻击者在中间节点篡改数据，并对进入的流量进行解密、检测和放行，从而提升了整体的安全性和数据传输的安全性。 - **前提条件** - 已开通Web应用防火墙（Web Application Firewall，WAF），且已在WAF中配置了与SSL证书匹配的网站域名。 - 已在云证书与管理服务中申请SSL证书且状态为"已签发"，或者已将在其他平台签发的SSL证书上传至云证书与管理服务中且状态为"托管中"。 - **约束条件** - 如果没有购买WAF，或数字证书所绑定的域名没有在WAF中开通服务，请不要将数字证书部署到WAF中，如部署将可能导致部署失败。 - 申请证书时，如果"证书请求文件"选择的是"自己生成CSR"，由于华为云上没有该证书的私钥，签发的证书不支持一键部署到云产品。如需在对应云产品中使用证书，可以先将证书下载到本地，然后再到对应云产品中上传证书及私钥并进行部署。 - 国密证书暂不支持一键部署到华为云其他云产品。 ![](https://support.huaweicloud.com/qs-ccm/public_sys-resources/caution_3.0-zh-cn.png) 已上传的第三方证书和有效期为三个月的测试证书部署到华为云产品需要收费，每一张证书部署到华为云产品的一个域名计为一次部署，证书部署费用为30元/次，不支持使用代金券。具体收费详情请参见[关于调整证书部署功能的通知](https://support.huaweicloud.com/bulletin-ccm/ccm_01_0214.html)。 - **操作步骤** 1. 登录[云证书与管理服务控制台](https://console.huaweicloud.com/ccm/?locale=zh-cn)。 2. 在左侧导航栏选择"SSL证书管理 \> SSL证书列表"，进入SSL证书列表页面。 3. 在目标证书所在行的"操作"列，选择"更多"，单击"部署证书"，系统从右面弹出证书部署详细页面，如[图6]所示。 图6部署证书 ![](https://support.huaweicloud.com/qs-ccm/zh-cn_image_0000002563024613.png "点击放大") 4. 在证书部署详情页面中的"部署详情"栏中，选择WAF。 5. 选择当前证书中需要部署的域名，并单击"操作"列的"部署"。 如需部署多个域名，则从域名列表中选择所有待部署的域名，并单击列表左上角的"批量更新"。 图7部署 ![](https://support.huaweicloud.com/qs-ccm/zh-cn_image_0000002508896097.png "点击放大") 6. 在弹出的确认框中，确认无误后单击"确认"。 图8部署证书提示信息 ![](https://support.huaweicloud.com/qs-ccm/zh-cn_image_0000002476816124.png "点击放大") 部署成功后，界面将提示部署成功，请前往部署记录查看。 - [场景二：在Nginx服务器上安装SSL证书] 以下操作将以 CentOS 7系统、Nginx 1.24.0服务器为例，演示如何安装国际标准证书。安装完成后，您的web服务器将获得SSL通信能力，从而实现数据安全传输。 - **前提条件** - 证书已签发且"证书状态"为"已签发"。 - 已下载SSL证书，具体操作请参见[下载证书](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0027.html)。 - **约束条件** - 证书安装前，务必在安装SSL证书的服务器上开启"443"端口，同时在安全组增加"443"端口，避免安装后仍然无法启用HTTPS。 - 如果一个域名有多个服务器，则每一个服务器上都要部署。 - 待安装证书的服务器上需要运行的域名，必须与证书的域名一一对应，即购买的是哪个域名的证书，则用于哪个域名。否则安装部署后，浏览器将提示不安全。 - 待安装证书为国际标准证书。 - **操作步骤** 1. 获取文件。安装证书前，需要获取证书文件和密码文件。具体操作步骤请参见[步骤一：获取文件](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0082.html#section3)。 2. 创建目录。在Nginx的安装目录conf下，创建"cert"目录用于存放证书文件。具体操作步骤请参见[步骤二：创建目录](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0082.html#section4)。 3. 上传证书文件。将[1]中获取到的本地"server.key"和"server.crt"证书文件上传到Nginx服务器的证书目录下（[2]创建的"cert"目录）。具体操作步骤请参见[步骤三：上传证书文件](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0082.html#section5)。 4. 修改配置文件。配置Nginx中"conf"目录下的"nginx.conf"文件。具体操作步骤请参见[步骤四：修改配置文件](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0082.html#section6)。 5. 验证配置是否正确。具体操作步骤请参见[步骤五：验证配置是否正确](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0082.html#section7)。 6. 重启Nginx。重启Nginx，使配置生效。具体操作步骤请参见[步骤六：重启Nginx](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0082.html#section8)。 7. 效果验证。部署成功后，可在浏览器的地址栏中输入"https://域名"，按"Enter"。具体操作步骤请参见[步骤七：效果验证](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0082.html#section9)。