Certbot自定义CA配置：使用私有ACME服务器的部署指南

【免费下载链接】certbot Certbot is EFF's tool to obtain certs from Let's Encrypt and (optionally) auto-enable HTTPS on your server. It can also act as a client for any other CA that uses the ACME protocol. 项目地址: https://gitcode.com/gh_mirrors/le/letsencrypt

你是否在企业内网中部署HTTPS时遇到这些问题？无法访问公网Let's Encrypt服务器、需要统一管理内部证书策略、私有服务HTTPS认证困难？本文将通过10分钟快速配置，教你如何使用Certbot对接私有ACME服务器，实现内部服务的自动化证书管理。

读完本文你将掌握：

• 私有ACME服务器的Certbot环境配置
• 自定义CA证书的信任策略设置
• 企业级证书申请与自动续期方案
• 常见错误排查与最佳实践

背景：为什么需要私有CA配置？

传统自建CA面临证书颁发流程繁琐、手动续期易遗漏等问题。ACME（Automated Certificate Management Environment，自动化证书管理环境）协议通过自动化域名验证和证书颁发流程，已成为HTTPS证书管理的行业标准。Certbot作为ACME协议的客户端实现，不仅支持Let's Encrypt等公共CA，还可通过参数配置对接私有ACME服务器，满足企业内网环境的安全需求。

Certbot的ACME客户端实现位于acme/acme/client.py，其ClientV2类通过get_directory方法获取ACME服务器目录信息，支持自定义服务端点配置。

准备工作：环境与依赖检查

系统环境要求

• Python 3.6+ 环境
• Certbot 1.10.0+ 版本（支持自定义CA配置）
• 私有ACME服务器地址及访问权限
• 目标域名（需在私有DNS中解析）

安装Certbot

通过项目仓库安装最新版Certbot：

git clone https://gitcode.com/gh_mirrors/le/letsencrypt
cd letsencrypt
python setup.py install

验证安装版本：

certbot --version
# 应输出 Certbot 2.0.0 或更高版本

配置步骤：从零开始对接私有ACME

1. 获取私有ACME服务器信息

联系你的CA管理员获取以下信息：

• ACME目录端点（Directory URL）
• CA根证书（PEM格式）
• 可选：EAB（外部账户绑定）凭证

2. 配置CA信任

将私有CA根证书安装到系统信任存储：

# 复制CA根证书到系统目录
sudo cp private-ca-root.pem /usr/local/share/ca-certificates/
# 更新证书信任列表
sudo update-ca-certificates

对于Certbot单独信任配置（不影响系统全局）：

# 创建Certbot配置目录
mkdir -p ~/.config/certbot/ssl
# 复制CA根证书
cp private-ca-root.pem ~/.config/certbot/ssl/

3. 命令行直接指定ACME服务器

使用--server参数临时指定私有ACME服务器：

certbot certonly \
  --server https://acme.private-ca.com/directory \
  --no-verify-ssl \  # 仅测试环境使用，生产环境需配置CA信任
  --webroot \
  -w /var/www/example \
  -d internal.example.com

安全提示：生产环境中禁止使用--no-verify-ssl参数，应通过前面介绍的CA信任配置确保证书验证通过。

4. 创建持久化配置文件

为避免每次输入冗长参数，创建配置文件/etc/letsencrypt/cli.ini：

# 私有ACME服务器配置
server = https://acme.private-ca.com/directory
# CA根证书路径
ca-path = /etc/letsencrypt/ssl/private-ca-root.pem

# 默认认证方式
authenticator = webroot
webroot-path = /var/www/html

# 邮件通知（内部CA可不填）
# email = admin@example.com

# 自动续期配置
renew-by-default = true
agree-tos = true

5. 申请测试证书

使用配置文件申请证书：

certbot certonly -d internal.example.com --config /etc/letsencrypt/cli.ini

成功申请后，证书将存储在/etc/letsencrypt/live/internal.example.com/目录下，包含以下文件：

• cert.pem：服务器证书
• chain.pem：证书链
• fullchain.pem：完整证书链（服务器证书+中间CA）
• privkey.pem：私钥文件

高级配置：适应企业复杂场景

EAB外部账户绑定

部分私有ACME服务器要求外部账户绑定（EAB），需通过--eab-kid和--eab-hmac-key参数配置：

certbot certonly \
  --server https://acme.private-ca.com/directory \
  -d internal.example.com \
  --eab-kid "your-eab-key-id" \
  --eab-hmac-key "your-eab-hmac-key"

EAB参数在acme/acme/client.py的new_account方法中处理，通过ACME协议的外部账户绑定流程完成身份验证。

证书自动续期

配置crontab任务实现自动续期：

# 每天凌晨3点执行续期检查
0 3 * * * /usr/local/bin/certbot renew --config /etc/letsencrypt/cli.ini >> /var/log/certbot-renew.log 2>&1

检查续期配置是否生效：

certbot renew --dry-run --config /etc/letsencrypt/cli.ini

多域名证书申请

通过-d参数指定多个域名，生成通配符或多SAN证书：

certbot certonly \
  --config /etc/letsencrypt/cli.ini \
  -d internal.example.com \
  -d api.internal.example.com \
  -d "*.service.example.com"

注意：通配符证书通常需要DNS-01验证方式，需确保你的私有ACME服务器支持该验证类型。

问题排查：常见错误与解决方法

错误1：无法连接ACME服务器

Failed to connect to acme.private-ca.com port 443: Connection refused

解决步骤：

1. 检查ACME服务器地址和端口是否正确
2. 验证网络连通性：telnet acme.private-ca.com 443
3. 检查防火墙规则是否允许出站连接

错误2：CA证书不受信任

SSLError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed

解决步骤：

1. 确认CA根证书已正确安装到系统信任存储
2. 通过--ca-path参数指定证书路径：

certbot certonly --ca-path /path/to/private-ca-root.pem ...

错误3：域名验证失败

Challenge failed for domain internal.example.com

解决步骤：

1. 检查域名解析是否正确：nslookup internal.example.com
2. 验证验证方式（HTTP-01/DNS-01）对应的服务是否正常运行
3. 查看ACME服务器日志获取详细错误信息

最佳实践：企业级部署建议

配置文件管理

• 为不同环境创建专用配置文件：
  • cli.prod.ini：生产环境配置
  • cli.test.ini：测试环境配置
• 使用版本控制系统管理配置文件，确保变更可追溯

证书存储与权限

• 限制私钥文件权限：chmod 600 /etc/letsencrypt/live/*/privkey.pem
• 考虑使用硬件安全模块（HSM）存储高安全性环境的私钥

监控与告警

• 集成Prometheus监控证书过期时间
• 配置证书过期告警（建议提前30天）
• 定期检查Certbot续期日志：tail -f /var/log/certbot/letsencrypt.log

总结与展望

通过本文介绍的方法，你已成功配置Certbot对接私有ACME服务器，实现了企业内网环境的自动化证书管理。该方案不仅解决了内部服务的HTTPS认证问题，还通过ACME协议的自动化流程降低了证书管理的运维成本。

未来，随着私有CA技术的发展，你还可以探索：

• 基于ACME协议的证书吊销流程
• 多CA备份与故障转移策略
• 集成CI/CD管道实现证书自动部署

如需深入了解Certbot的ACME协议实现，可参考certbot/docs/using.rst文档，或查看项目源码中的acme/acme/client.py实现。

祝你的私有CA之旅顺利！如有任何问题，欢迎在项目仓库提交issue或参与社区讨论。

【免费下载链接】certbot Certbot is EFF's tool to obtain certs from Let's Encrypt and (optionally) auto-enable HTTPS on your server. It can also act as a client for any other CA that uses the ACME protocol. 项目地址: https://gitcode.com/gh_mirrors/le/letsencrypt