配置三方云账号并部署证书至三方云产品_数字证书管理服务（原SSL证书）(SSL Certificate)-阿里云帮助中心

如果您的云产品不在阿里云，SSL证书签发完成后，可通过数字证书管理服务将SSL证书部署至第三方云产品，简化证书迁移及配置流程。

使用限制

支持部署的三方云产品如下：

云平台	云产品
腾讯云	内容分发网络CDN 负载均衡CLB Web应用防火墙
AWS	Amazon CloudFront（CDN）负载均衡（ALB、NLB和CLB）
华为云	内容分发网络CDN 弹性负载均衡ELB

说明

如果您有其他云产品部署需求，可以通过专家一对一服务，向产品团队反馈。

前提条件

已通过数字证书管理服务购买和申请证书（状态为已签发）。如需购买和申请证书，请参见购买正式证书和申请证书。
域名已完成工信部ICP备案（仅限中国内地部署的服务）。
如何查看域名解析记录以及 ICP 备案信息
打开网络拨测工具，选择网络诊断分析，输入当前域名，确认以下信息：
- DNS 服务商解析结果：
  若为 A 记录，则其指向的 IP 地址必须与待部署证书的目标服务器公网IP一致。
  若为 CNAME 记录，则其指向的域名必须与待部署证书的流量入口（如 WAF、CDN、ALB 等）提供的 CNAME 地址一致。
- 备案检查为网站已备案。若显示“网站未备案，请咨询网站服务器提供商”，请完成备案后再安装证书。
  如果您使用的是阿里云服务器，请前往阿里云备案系统进行网站备案，具体操作请参见ICP备案流程。
  如果您使用的不是阿里云服务器，请前往服务器提供商的备案系统或工信部备案官网进行备案。
在SSL证书管理页面，定位需部署的目标证书，并确认以下信息：
1. 证书状态：确保其为已签发。若为即将过期或已过期，则需续费SSL证书。
2. 绑定域名：确保其能够匹配所有需保护的域名，否则未匹配的域名访问 HTTPS 时将出现安全警告。如需添加或修改，请参见追加和更换域名。
  确认证书是否匹配目标域名
  证书的绑定域名可包含多个精确域名和通配符域名。每类域名的匹配规则如下：
  - 精确域名：仅对指定域名生效。
    example.com 仅对 example.com 生效。
    www.example.com 仅对 www.example.com 生效。
  - 通配符域名：仅对其一级子域名生效。
    *.example.com 对 www.example.com、a.example.com 等一级子域名生效。
    *.example.com 对根域名 example.com 和多级子域名 a.b.example.com 不生效。
  说明
  如需匹配多级子域名，绑定域名中需包含该域名（如 a.b.example.com），或包含相应的通配符域名（如 *.b.example.com）。

操作步骤

步骤一：购买部署次数

说明

仅部署上传证书类型的证书时会消耗部署次数。非上传证书类型，请直接前往步骤二：接入第三方云账号。

部署次数不足时，请购买部署次数，费用为30元/次，有效期为一年。
非上传证书类型，以及不同阿里云账号（账号需归属于同一个经过实名认证的个人或企业用户）之间共享的证书，部署时不消耗部署次数。部署失败时，将返还相应的部署次数。

步骤二：接入第三方云账号

部署SSL证书至第三方云产品前，您需要在第三方云平台对指定子用户授权对应的权限策略，并将子用户AK接入到阿里云。具体操作如下：

登录数字证书管理服务控制台。
在左侧导航栏，选择综合管理 > 多云AK管理。
在多云AK管理页面，单击新增授权。
单击目标云服务提供商，在弹出的面板按照页面引导，配置目标云服务提供商用户账号。
下文以授权腾讯云子用户为例介绍（仅供参考）
1. 登录腾讯云控制台，进入用户列表，单击新建用户。
2. 在新建用户页面，单击快速创建。
3. 在快速新建用户页面，设置用户信息。
  - 用户名：自定义即可。
  - 访问方式：单击图标，勾选编程访问。
  - 用户权限：单击图标，选择QcloudSSLFullAccess（SSL证书全读写访问权限）和对应云产品的读写权限。
    说明
    例如，您需要部署阿里云证书至腾讯云CDN，则需授权QcloudCDNFullAccess内容分发网络全读写权限。
  成功新建用户信息示例图如下：
4. 在阿里云数字证书管理服务控制台提交AK引导页，配置腾讯云子用户或主账号，单击确定。

步骤三：部署SSL证书至第三方云产品

左侧导航栏，选择部署和资源管理 > 多云部署。

在多云部署页面，单击创建任务，按照以下步骤部署阿里云SSL证书至第三方云产品。

在基础配置引导页，配置部署任务名称，选择AK、联系人和部署时间，单击下一步。

配置项	说明
任务名称	自定义部署任务名称。
选择AK	选择步骤一接入第三方云的账号。如果没有可选择的AK，请单击添加新AK，并按照支持部署的三方云产品完成AK配置。
联系人	选择部署任务消息提醒联系人，用于接收部署任务提醒消息，最多支持添加10个联系人。
部署时间	立即部署：立即部署证书至对应云产品。自定义时间：指定部署任务执行时间，系统会在指定的时间启动部署任务。

在选择证书引导页，选择与云产品资源对应的SSL证书（支持选择一个或多个证书进行部署），单击下一步。
- 通过私有CA服务签发的证书会同步至上传证书页签，您可以在该页签进行选择。
- 一个部署任务只允许选择一种证书类型下的证书。
在选择资源引导页，系统会自动识别并拉取对应云产品中的所有资源，选择对应的云产品和资源（支持选择一个或多个云产品或资源）后，单击预览并提交。
在任务预览页面，确认部署的证书实例和云产品资源信息，如无问题，单击提交。
预览页面会显示对应云产品匹配的证书个数和消耗的部署次数。
- 证书匹配个数为0表示您选择的证书与云产品资源不匹配，会导致部署失败，请您仔细核对选择的证书。
- 消耗的部署次数以上传证书匹配的资源数为准，如完成匹配但是在任务启动之后最终部署失败，将返还该资源消耗的部署次数。

步骤三：验证 SSL证书是否安装成功

请通过 HTTPS 访问您已绑定证书的域名（如 https://yourdomain.com，yourdomain.com 需替换为实际域名）。
若浏览器地址栏显示安全锁图标，说明证书已成功部署。如访问异常或未显示安全锁，请先清除浏览器缓存或使用无痕（隐私）模式重试。
说明
Chrome 浏览器自 117 版本起，地址栏中的已被新的替代，需单击该图标后查看安全锁信息。