突然发现这个竟然没有博客留档

<h1 id="-lego--lets-encrypt-ssl-">使用 Lego 申请 Let's Encrypt SSL 证书</h1>
<h2 id="tlsssl">TLS/SSL</h2>
HTTPS 是基于 SSL/TLS 的 HTTP 协议，在目前的场景下，应该尽可能地提供 HTTPS 访问，它可以提供:
<ul>
<li>流量加密: 避免第三方截取通信内容</li>
<li>身份验证: 确保用户访问你的域名时，一定是你的站点提供服务，而不是劫持站</li>
</ul>
（尽管 SSL/TLS 连接的建立可能会略微增加消耗的资源）
系统内置了一些可信的根证书公钥，根证书机构通过私钥为一些大型机构签发他们证书，这些机构通过某种方式验证你的身份后，就可以为你签发属于你得证书。这样，任何人要确保你是你，只需要用公钥解密你用自己私钥签发的内容。
<h2 id="heading">证书申请</h2>
一般来说，如果服务数量不多，各大站点都提供了免费一年的证书，用户可以很方便地在云服务控制台进行证书申请、部署
但是，这种一年的证书往往只支持一个域名，如 <code>a.example.com</code>，如果同时包含多个服务 <code>a.example.com</code>、<code>b.example.com</code>、<code>c.example.com</code> 时，就需要分别进行申请。 
要解决这种问题，可以使用泛域名证书 <code>*.example.com</code>。一般来说，免费的泛域名证书使用 Let's Encrypt 申请
<div class='image'><a href='//static.oyohyee.com/post/letsencrypt.jpg' target='_blank' rel='noopener noreferrer'><img src="//static.oyohyee.com/post/letsencrypt.jpg" alt="Let's Encrypt" /></a>Let's Encrypt</div>
<h2 id="lego">Lego</h2>
Let's Encrypt 使用 acme 协议进行控制。显然，用户并不想知道具体的细节，因此有很多工具对该协议进行封装，对外只暴露必须的接口。Lego 就是一个使用 Go 开发的 Let's Encrypt 客户端 —— Le(t's Encrypt) Go
既然懒惰的用户不想知道细节，那么他也不想考虑怎么编译、安装。所以懒惰的用户决定用 Docker
按照前面提到的，证书机构需要对用户身份进行验证，在域名这里，需要验证的就是域名所有权。你需要按照要求，在域名解析内添加 TXT 记录，或是在网站根目录放置指定文件。 
这里使用 DNS 记录作为验证方式，因为各大厂商都有 DNS 解析的接口以供使用。
<hr>
理一下思路，需要做的任务如下:
<ol>
<li>使用 Lego 调用云厂商接口更新 DNS 解析，验证域名所有权</li>
<li>向 Let's Encrypt 申请证书</li>
<li>把证书部署到各个服务</li>
</ol>
下面是一个最基本的证书申请命令
首先是使用 <code>goacme/lego</code> Docker 镜像，挂载对应的目录，并将云厂商的 AK&amp;SK 以环境变量形式传入。后面则是设定需要申请的域名及验证方式（由于 <code>example.com</code> 并不匹配 <code>*.example.com</code>，因此还需要单独申请一级域名证书） 
如果是第一次申请，需要使用 <code>run</code> 创建用户（使用邮箱），后面直接使用 <code>renew</code> 即可
<pre style="background-color:#fff">DNSPOD_API_KEY=&#34;123456,12341234123142341234&#34;
ALICLOUD_ACCESS_KEY=&#34;LT123412341234&#34;
ALICLOUD_SECRET_KEY=&#34;12341234123414&#34;

docker run \
 --rm \
 -e DNSPOD_API_KEY=\&#34;${DNSPOD_API_KEY}\&#34; \
 -e ALICLOUD_ACCESS_KEY=\&#34;${ALICLOUD_ACCESS_KEY}\&#34; \
 -e ALICLOUD_SECRET_KEY=\&#34;${ALICLOUD_SECRET_KEY}\&#34; \
 -u ${UID}:${UID} \
 -v $(pwd):/.lego \
 goacme/lego \
 --email=&#34;oyohyee@oyohyee.com&#34; \
 --domains=&#34;*.oyohyee.com&#34; \
 --domains=&#34;oyohyee.com&#34; \
 --accept-tos \
 --dns=&#34;dnspod&#34; \
 --accept-tos \
 --key-type rsa2048 \
 run
</pre><h2 id="heading-1">更新脚本</h2>
目前的两个域名，分别在阿里云和腾讯云，因此需要分开两次验证，下面是一个封装好的脚本，如果需要部署到服务器，可以直接在 deploy 里添加命令（如 <code>scp</code> 替换掉服务器上的证书） 
不过貌似各个厂商目前还不支持直接通过接口更新证书，所以还需要手动上传证书并部署到各个服务中 
（看上去可能并没有比用服务商提供的一年免费证书方便，但是考虑到很多服务都是通过 Nginx 直接部署的，且服务商上也需要手动执行各个服务的部署操作，因此在 Nginx 后挂载多个服务时，还是有优势的）
<pre style="background-color:#fff">#!/bin/sh
DNSPOD_API_KEY=&#34;**********&#34;
ALICLOUD_ACCESS_KEY=&#34;**********&#34;
ALICLOUD_SECRET_KEY=&#34;**********&#34;

debug () {
 if [[ -n $DEBUG ]]; then echo $@; fi
}

ssl () {
 # concat args from 2 to end

 cmd=$(echo &#34;docker run \
 --rm \
 -e DNSPOD_API_KEY=\&#34;${DNSPOD_API_KEY}\&#34; \
 -e ALICLOUD_ACCESS_KEY=\&#34;${ALICLOUD_ACCESS_KEY}\&#34; \
 -e ALICLOUD_SECRET_KEY=\&#34;${ALICLOUD_SECRET_KEY}\&#34; \
 -u ${UID}:${UID} \
 -v $(pwd):/.lego \
 goacme/lego \
 ${@:2} \
 --accept-tos \
 --key-type rsa2048 \
 ${1}&#34; | tr -s &#34; &#34;)
 debug $cmd
 `$cmd`
}

help() {
 echo &#34;$0 - tool to generate ssl certification&#34;
 echo &#34; use \&#34;$0 run\&#34; or \&#34;$0 renew\&#34;&#34;
 echo &#34;&#34;
 echo &#34; run lego run&#34;
 echo &#34; renew lego renew&#34;
 echo &#34;&#34;
 echo &#34; -d --debug debug mode&#34;
 exit 0
}

main() {
 # oyohyee.com
 ssl $1 \
 --email=&#34;oyohyee@oyohyee.com&#34; \
 --domains=&#34;*.oyohyee.com&#34; \
 --domains=&#34;oyohyee.com&#34; \
 --dns=&#34;dnspod&#34; 
 
 # ohyee.cc
 ssl $1 \
 --email=&#34;me@ohyee.cc&#34; \
 --domains=&#34;*.ohyee.cc&#34; \
 --domains=&#34;ohyee.cc&#34; \
 --dns=&#34;alidns&#34;
}

deploy() {
 echo &#34;&#34;
 echo &#34;Update ssl in aliyun:&#34;
 echo &#34; https://yundun.console.aliyun.com/?&amp;p=cas#/certExtend/upload&#34;
 echo &#34;&#34;
 echo &#34;Update ssl in tencent cloud:&#34;
 echo &#34; https://console.cloud.tencent.com/ssl&#34;
 echo &#34;&#34;
 echo &#34;Update ssl in qiniu cloud:&#34;
 echo &#34; https://portal.qiniu.com/certificate/ssl#cert&#34;
 echo &#34;&#34;
 echo &#34;Update ssl in server:&#34;
 echo &#34; scp ./certificates/_.* ubuntu@vps.oyohyee.com:/etc/nginx/ssl&#34;
 echo &#34;&#34;
}

# parse flags
command=&#34;&#34;
while [[ $# -gt 0 ]]; do
 key=&#34;$1&#34;
 shift
 case $key in
 -d|--debug) DEBUG=1 ;;
 run) command=&#34;run&#34; ;;
 renew) command=&#34;renew&#34; ;;
 deploy) command=&#34;deploy&#34; ;;
 *) help ;;
 esac
done

if [[ -z $command ]]; then help; fi

debug &#34;DEBUG mode&#34;
debug &#34;command: $command&#34;

if [[ $command -ne &#34;deploy&#34; ]]; then
 deploy
else
 main $command
 deploy
fi
</pre><h2 id="nginx">Nginx</h2>
如果有多个服务，可以考虑使用 Nginx 的 <code>include</code> 来统一引入根证书，每次更新证书后，只需要覆盖证书文件并重启 Nginx 即可

使用 Lego 申请 Let‘s Encrypt SSL 证书