Certify The Web 7.2.0.0 + 阿里云 DNS API 自动申请证书操作指南

前置条件确认

• 已安装 Certify The Web 7.2.0.0，只是为了拿到Account Key
  
• 已在阿里云 RAM 控制台创建了 AccessKey（AccessKey ID + AccessKey Secret）
• 该 RAM 用户已授予 AliyunDNSFullAccess 权限
• 域名 oss.yidengyi.com.cn 已托管在阿里云 DNS 解析中

第一步：新建证书

1. 打开 Certify The Web 主界面
2. 点击顶部菜单 Certificates → New managed certificate（或点击工具栏的 "+" 新建按钮）

第二步：填写域名信息

• Domain names：输入 oss.yidengyi.com.cn
  • 如果您还需要通配符证书（如 *.oss.yidengyi.com.cn），在此处添加，用逗号分隔
• Certificate name：填写一个便于识别的名称，如 oss.yidengyi.com.cn

第三步：选择 DNS-01 验证方式

1. Validation method：选择 dns-01
2. DNS provider：在下拉列表中选择 Alibaba Cloud（阿里云）
   • 如果下拉列表中没有找到 "Alibaba Cloud"，请选择 Generic DNS-01（通用 DNS-01），后续需要手动填写 API 参数
3. 在下方出现的 Credentials 区域中：
   • Access Key ID：填入您的阿里云 AccessKey ID
   • Access Key Secret：填入您的阿里云 AccessKey Secret
   • Region ID：填写 cn-hangzhou（阿里云 DNS 默认区域）
4. 点击 Test 按钮，验证凭据是否正确
   • 如果显示 "Test successful" 或类似成功提示，说明凭据配置正确
   • 如果失败，请检查 AccessKey 是否正确、权限是否已生效

第四步：配置部署任务

• 选择 Deploy to IIS → 选择对应的站点绑定

• 选择 Copy to folder，填入目标路径，如 C:\SSL\oss.yidengyi.com.cn
• 这样证书文件（.cer、.pfx、.key）会自动复制到该目录，方便其他程序读取

• 选择 Deploy to RDP...，填写远程服务器的 IP、用户名和密码

第五步：申请证书

1. 确认所有配置无误后，点击底部的 Request Certificate 按钮
2. Certify The Web 会自动：
   • 向 Let's Encrypt 发起证书申请
   • 通过阿里云 DNS API 在 oss.yidengyi.com.cn 下添加一条 _acme-challenge 的 TXT 记录
   • 等待 DNS 记录生效（通常 30 秒左右）
   • Let's Encrypt 验证 TXT 记录通过后签发证书
   • 自动将证书安装到指定位置
3. 成功后，证书会出现在主界面的证书列表中，状态显示为 Active

第六步：验证自动续期

• 主界面顶部的仪表板会显示所有证书的到期时间
• 续期过程与首次申请完全相同，会自动通过 DNS-01 验证完成
• 续期完成后会自动重新部署新证书

常见问题排查

安全建议

• 建议使用 RAM 子用户 的 AccessKey（而非主账号），且仅授予 DNS 相关的最小权限：
  文本

  编辑

   

   

   

  alidns:DescribeDomains
  alidns:DescribeDomainRecords
  alidns:AddDomainRecord
  alidns:UpdateDomainRecord
  alidns:DeleteDomainRecord

• 该 AccessKey 仅用于 DNS 验证，不需要 ECS、OSS 等其他云服务的权限