SSL 证书签发后不会自动生效，需要将其部署到对外提供访问服务的位置，浏览器才会将您的网站标记为安全。本文介绍证书应部署在哪些位置，以及各位置可选的部署方案。
部署前准备
开始部署前，请准备好 CA 机构签发的 SSL 证书。如需购买和申请签发证书，请参见购买正式证书和申请正式证书操作指导、申请个人测试证书操作指导。
确认证书需要部署的位置
如果您部署了 CDN、Web 应用防火墙（WAF）、负载均衡等产品，用户访问您的网站时，访问请求可能经过这些中间产品中转后转发到您的服务器。需要根据 HTTPS 终结位置判断需要在哪些位置部署证书。如果是端到端的 HTTPS 链路，则需在每个中间节点部署证书。
下面介绍了两种常见的网站部署方式：
直接访问 Web 服务器
如果用户的访问请求不经过 CDN、WAF 等产品，直接发送至您的 Web 服务器时，证书只需部署在 Web 服务器中。
访问请求经过 CDN、WAF 等产品
如果用户的访问请求经过 CDN、WAF 等产品，此时，需要在每一段 HTTPS 链路的入口处部署证书，该段才能以 HTTPS 方式访问。以"访问者 → CDN → WAF → 负载均衡 → Web 服务器（部署在 ECS 中）"为例：仅在 CDN 上部署证书时，只有用户到 CDN 这一段可以使用 HTTPS 访问，CDN 到 Web 服务器的链路需使用 HTTP 访问。如需实现用户到 Web 服务器全程 HTTPS 访问，则CDN、WAF、负载均衡、Web 服务器均需部署证书。
判断部署场景
确认证书需要部署的位置后，请参照下表判断每个部署位置属于哪种部署场景，再前往对应章节选择部署方案。
场景说明 | 参考文档 |
域名解析或 CNAME 指向阿里云的托管型产品，由该产品对外提供 HTTPS 访问。例如 CDN、全站加速 DCDN、WAF、DDoS 高防、负载均衡（ALB/NLB/CLB）、云原生 API 网关等。 | |
域名直接解析到服务器的公网 IP，您在服务器上自行安装 Web 服务（如 Nginx、Apache、Tomcat、IIS）。服务器为阿里云 ECS、轻量应用服务器、其他云平台的云主机或自有 IDC 服务器时，均属于此场景。 | |
域名解析或 CNAME 指向腾讯云、AWS、华为云等第三方云平台的 CDN、WAF、负载均衡等云产品，由该产品对外提供 HTTPS 访问。 | |
混合场景。例如域名解析至 CDN，由 CDN 将请求转发至您自建的 Nginx 服务器，且需要实现端到端 HTTPS 访问。 |
|
证书部署过程中如有任何问题需要协助，请联系产品技术专家进行咨询，详情请参见专家一对一服务。
场景一：在阿里云产品中部署证书
证书需要部署在 CDN、WAF、负载均衡等阿里云产品上时，有两种方式：在数字证书管理服务控制台一键推送，或登录对应云产品控制台上传证书。推荐前者，可省去下载和上传证书文件的步骤。
方案一：在数字证书管理服务控制台一键部署（推荐）
在数字证书管理服务控制台使用云产品部署功能，可将证书一键推送到下表中的云产品（下表中未列出的云产品和应用场景暂不支持），无需手动下载和上传证书文件。具体操作请参见云产品部署：部署 SSL 证书至 SLB/CDN/WAF 等云产品。
若您使用的产品不在"云产品部署"功能支持的范围内，请参考该产品的文档进行部署。支持一键推送的产品见下方表格。
以下表格中的"更新已有证书"表示云产品已部署过证书，当前需要替换证书的场景。
部分云产品仅在更新已有证书时支持一键部署，首次部署证书需在云产品控制台完成，具体请参见方案二：在云产品控制台部署。各云产品的支持情况见下表适用条件列。
云产品 | 应用场景 | 适用条件 |
云虚拟主机 | HTTPS 加密访问网站场景 | 首次部署证书、更新已有证书 |
容器镜像服务 ACR | HTTPS 域名访问容器镜像服务企业版实例场景 | 更新已有证书 |
容器服务 Kubernetes 版 ACK | ACK 托管与专有集群中更新 AlbConfig 证书和 Secret 证书 重要 请勿在容器服务 ACK 中手动修改 Secret，系统会自动创建新的 Secret。 | 更新已有证书 |
Serverless 应用引擎-网关路由 | 网关路由转发协议配置 HTTPS 场景（ALB 和 CLB） | 更新已有证书 |
函数计算 FC | HTTP 函数场景 | 更新已有证书 |
微服务引擎-云原生网关 | 云原生网关路由场景 | 更新已有证书 |
云原生 API 网关 | HTTPS 域名访问 API 场景 | 更新已有证书 |
全球加速 GA | HTTPS 域名安全加速访问场景 | 更新已有证书 |
| 通过 HTTPS 监听转发 HTTPS 协议请求的场景（服务器证书） 说明 部署客户端证书，请参见部署客户端证书。 | 更新已有证书 |
内容分发网络 CDN | HTTPS 安全加速场景 | 首次部署证书、更新已有证书 |
全站加速 DCDN | HTTPS 安全加速场景 | 首次部署证书、更新已有证书 |
边缘安全加速（ESA） | HTTPS 安全加速场景 | 更新已有证书 |
对象存储 OSS | 通过 HTTPS 方式访问 OSS 服务场景 说明 绑定 CDN 加速域名，需在 CDN 控制台替换证书。 | 更新已有证书 |
Web 应用防火墙（WAF） | CNAME 接入场景 | 更新已有证书 |
DDoS 高防 | DDoS 高防域名接入场景 | 更新已有证书 |
视频直播 | 推/播流 HTTPS 安全加速场景 | 首次部署证书、更新已有证书 |
视频点播 | 分发加速场景 | 首次部署证书、更新已有证书 |
人工智能平台 PAI | 模型在线服务 EAS（Elastic Algorithm Service）：专属网关使用自定义域名 | 更新已有证书 |
方案二：在云产品控制台部署
如果云产品不支持一键部署，或您需要在云产品侧自行操作，可在证书列表中下载证书文件，再登录对应云产品控制台上传并配置证书。主要云产品的部署文档如下表所示（未列出的云产品可自行查找对应云产品操作文档）。
云产品 | 应用场景 | 部署文档 |
云虚拟主机 | HTTPS 加密访问网站场景 | |
容器镜像服务 ACR | HTTPS 域名访问容器镜像服务企业版实例场景 | |
容器服务 Kubernetes 版 ACK | ACK 托管与专有集群中更新 AlbConfig 证书和 Secret 证书 重要 请勿在容器服务 ACK 中手动修改 Secret，系统会自动创建新的 Secret。 | |
Serverless 应用引擎-网关路由 | 网关路由转发协议配置 HTTPS 场景（ALB 和 CLB） | |
函数计算 FC | HTTP 函数场景 | |
微服务引擎-云原生网关 | 云原生网关路由场景 | |
云原生 API 网关 | HTTPS 域名访问 API 场景 | |
全球加速 GA | HTTPS 域名安全加速访问场景 | |
| 通过 HTTPS 监听转发 HTTPS 协议请求的场景（服务器证书） 说明 部署客户端证书，请参见部署客户端证书。 |
|
内容分发网络 CDN | HTTPS 安全加速场景 | |
全站加速 DCDN | HTTPS 安全加速场景 | |
边缘安全加速（ESA） | HTTPS 安全加速场景 | |
对象存储 OSS | 通过 HTTPS 方式访问 OSS 服务场景 说明 绑定 CDN 加速域名，需在 CDN 控制台替换证书。 | |
Web 应用防火墙（WAF） | CNAME 接入场景 |
|
DDoS 高防 | DDoS 高防域名接入场景 | |
视频直播 | 推/播流 HTTPS 安全加速场景 | |
视频点播 | 分发加速场景 | |
人工智能平台 PAI | 模型在线服务 EAS（Elastic Algorithm Service）：专属网关使用自定义域名 | |
云·速成美站 | HTTPS 加密访问网站场景 | |
云·企业官网 | HTTPS 加密访问网站场景 |
部署国密标准 SSL 证书（SM2，仅 CDN、DCDN 和 DDoS 防护产品支持）
内容分发网络 CDN：调用 SetCdnDomainSMCertificate 接口设置国密证书。
全站加速 DCDN：配置国密标准 SSL 证书。
DDoS 防护：配置国密标准 SSL 证书。
场景二：在自建 Web 服务器中部署证书
当需要将证书部署到自建的 Web 服务器中时，有两种方案：
通过数字证书控制台自动部署（推荐）：在数字证书管理服务控制台完成配置后，由控制台将证书部署至服务器，无需逐台登录。阿里云 ECS、轻量应用服务器，以及其他云厂商服务器和本地自有服务器均可使用，但适用条件不同。
登录 Web 服务器手工部署：下载证书文件后登录服务器修改 Web 服务配置。适用于所有服务器，也是不满足自动部署条件时（例如证书为国密标准 SM2）的通用方案。
方案一：通过数字证书控制台自动部署（推荐）
在数字证书管理服务控制台完成配置后，由控制台将证书部署至服务器，无需逐台登录，可提升部署效率并降低配置风险。根据服务器所在位置，有以下两种方式，请按适用服务器和使用条件选择：
部署方式 | 适用服务器 | 使用条件 |
其他云厂商服务器、本地自建服务器、阿里云 ECS |
| |
阿里云 ECS、轻量应用服务器 | 仅支持国际标准 SSL 证书（RSA/ECC）。 |
方案二：登录 Web 服务器手工部署
需下载证书文件后登录服务器修改 Web 服务配置。此方案适用于所有服务器，也是国密标准 SSL 证书唯一可用的部署方式。请按 Web 服务器类型和操作系统选择对应教程。
部署国际标准 SSL 证书（RSA/ECC）：
服务器操作系统
部署教程
Linux 系统
Windows 系统
部署国密标准 SSL 证书（SM2）：
服务器操作系统
证书部署教程
适用品牌
Linux 系统
所有品牌
WoSign
WoSign
Windows 系统
WoSign
说明目前，阿里云仅提供 Tengine、Nginx、Apache 服务器国密标准证书的安装教程。不同版本的操作系统和 Web 服务器，部署操作可能有所差异。
场景三：在第三方云平台的云产品中部署证书
证书需要部署在腾讯云、AWS、华为云的云产品上时，可在数字证书管理服务控制台完成部署，支持的平台和服务为：
腾讯云的内容分发网络 CDN、Web 应用防火墙、负载均衡 CLB。
华为云的内容分发网络 CDN、弹性负载均衡 ELB。
AWS 的 Amazon CloudFront（CDN）、负载均衡（ALB、NLB 和 CLB）。
具体操作请参见多云部署：部署证书至三方云平台。
上述范围之外的服务，可参考各云厂商的官方文档部署：
常见问题
如何下载根证书？
可参考下载和安装根证书，下载相关证书品牌的根证书。
证书链不完整、缺少中间证书时怎么办？
客户端的根证书和中间证书缺失或过期时，请参考如何解决网站SSL证书链不完整，下载安装缺失的根证书或中间证书后，重新尝试访问。
部署证书时提示"证书链中的一个或多个中间证书丢失"？
部分服务端系统部署 SSL 证书时（如 Windows 2008 R2 中的 IIS），可能会提示此错误。需在服务端安装缺失的根证书或中间证书。
非国密 SSL 证书在国企场景下应参考国际版还是国密版部署文档？
应参考国际标准 SSL 证书（RSA/ECC）的部署教程。申请和使用的证书为非国密算法的国际标准 SSL 证书（如 RSA、ECC），无论企业性质如何，都应按照国际通用标准进行部署和配置。