云与 DevOps 证书自动化解决方案

如何用 ACME + EAB 接入 certbot、acme.sh 与 cert-manager？

接入方式取决于证书最终运行在哪里：运行在 Kubernetes 中的证书交给 cert-manager，运行在单台服务器上的证书交给 acme.sh 或 certbot，需要审批、OV 审核或对接内部系统的流程使用 RESTful API 与 Webhook，无法运行客户端的 CDN 与负载均衡由 EncryptionSign 平台直接部署。四种方式可以在同一个账户中并存，并通过证书监控统一观测。

示例一：acme.sh 使用 EAB 注册账户并通过 DNS API 签发

# 示例：占位值需替换；ACME 目录地址与 EAB 凭据在 EncryptionSign 控制台获取
acme.sh --register-account --server "<ACME_DIRECTORY_URL>" \
  --eab-kid "<EAB_KID>" --eab-hmac-key "<EAB_HMAC_KEY>" -m ops@example.com

# 以阿里云 DNS 为例（dns_ali），其他服务商替换为对应的 dnsapi 插件
export Ali_Key="<AccessKey ID>" Ali_Secret="<AccessKey Secret>"
acme.sh --issue --server "<ACME_DIRECTORY_URL>" --dns dns_ali \
  --keylength ec-256 -d example.com -d "*.example.com"

# 安装到 Nginx 使用的路径，续期后自动执行重载命令
acme.sh --install-cert -d example.com --ecc \
  --key-file /etc/nginx/ssl/example.com.key \
  --fullchain-file /etc/nginx/ssl/example.com.fullchain.pem \
  --reloadcmd "systemctl reload nginx"

示例二：certbot 使用 EAB 申请证书

# 示例：使用 certbot-dns-cloudflare 插件完成 dns-01 验证，占位值需替换
certbot certonly --server "<ACME_DIRECTORY_URL>" \
  --eab-kid "<EAB_KID>" --eab-hmac-key "<EAB_HMAC_KEY>" \
  --dns-cloudflare --dns-cloudflare-credentials /etc/letsencrypt/cloudflare.ini \
  -m ops@example.com --agree-tos -d example.com -d "*.example.com"

示例三：cert-manager ClusterIssuer 配置 externalAccountBinding

# 示例：先在 cert-manager 所在命名空间创建保存 EAB HMAC 密钥的 Secret（占位值需替换）
# kubectl -n cert-manager create secret generic encryptionsign-eab \
#   --from-literal=secret='<EAB_HMAC_KEY>'
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: encryptionsign
spec:
  acme:
    server: <ACME_DIRECTORY_URL>          # 在 EncryptionSign 控制台获取
    email: ops@example.com
    privateKeySecretRef:
      name: encryptionsign-acme-account    # ACME 账户密钥，由 cert-manager 生成
    externalAccountBinding:
      keyID: <EAB_KID>
      keySecretRef:
        name: encryptionsign-eab
        key: secret
    solvers:
      - dns01:
          cnameStrategy: Follow            # 跟随 _acme-challenge 的 CNAME 委托
          cloudflare:                      # 按所用 DNS 服务商配置对应的 solver
            apiTokenSecretRef:
              name: cloudflare-api-token
              key: api-token

# 示例：Ingress 通过注解引用 ClusterIssuer，证书与私钥写入 web-example-tls
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: web
  annotations:
    cert-manager.io/cluster-issuer: encryptionsign
spec:
  ingressClassName: nginx
  tls:
    - hosts: [www.example.com]
      secretName: web-example-tls
  rules:
    - host: www.example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: web
                port:
                  number: 80

以上均为通用示例，使用前请替换占位值。EncryptionSign 的 ACME 目录地址、EAB 凭据以及可通过 ACME 签发的品牌与产品，请在控制台获取与确认。EAB HMAC 密钥等同于账户凭据，应保存在 CI 的密钥管理或 Kubernetes Secret 中，不要写入代码仓库或打印到流水线日志。

RESTful API 与 Webhook 适合做什么？

• 流水线中的证书准备：新服务上线前，在部署阶段调用 API 申请证书，签发完成后再继续发布，避免“服务已上线、证书还没好”；
• 内部自助平台：业务团队在内部门户中申请证书，由平台工程团队通过 API 统一下单、按项目归属，避免各团队各自购买、各自过期；
• 事件驱动：订阅 Webhook 事件通知与告警，触发配置下发、通知值班或更新 CMDB 记录；
• 不在自动部署列表中的平台：通过 API 获取新证书，由团队自己的发布工具推送，同样纳入监控。