SSL 证书安装指南

SSL/TLS 证书通过加密与身份认证保障数字通信安全，可帮助网站和应用保护传输中的数据，启用 HTTPS 协议。这类证书通常由证书颁发机构（CA）颁发，且必须正确安装才能发挥预期作用。

证书安装流程包含上传证书文件、配置服务器，针对 Zimbra、Nginx、Tomcat 等不同平台有对应的具体操作指引。安装前需完成生成 CSR、选择适配的 SSL 证书类型等前置步骤，安装后则需重点完成测试、监控和续期相关工作。Sectigo 等受信任的 CA 会提供操作指导及适配不同网站、业务需求的 SSL 证书选项，简化整个流程。

SSL 是 Secure Sockets Layer（安全套接层）的缩写，TLS 是 Transport Layer Security（传输层安全）的缩写，后者是目前广泛使用的现代安全协议。受信任的 CA 颁发 SSL/TLS 证书后，需完成安装，才能让证书从证书生命周期的申请阶段过渡到配置启用阶段，进入启用状态、正式可用。

证书安装属于技术操作流程，但并没有大家想象中那么复杂。本指南将拆解 SSL 证书安装的运作逻辑、安装前需做好的准备工作，以及常见服务器和平台上的证书安装方法。

如何安装 SSL 证书？

SSL/TLS 证书的申请使用流程包含多个步骤：

根据需求选择对应的证书类型及合适的验证等级。
向受信任的 CA 购买 SSL 证书。
生成并向 CA 提交CSR（证书签名请求）。
后续 CA 会提供完成域名验证的具体操作指引。
验证完成后，CA 会发送可供下载的 SSL 证书文件。这些文件通常包含多个部分，例如证书主体文件、用于关联根证书与终端用户证书的中间证书。
对于大多数服务器，下一步需要上传证书文件，再根据需要编辑配置文件。
测试安装。
监控证书状态，并在到期前完成续期。

我们在下方整理了安装前需要准备的事项相关的更多信息。

确认所需证书类型

在安装证书前，您需要确认实际要安装的SSL证书类型。可选的证书类型有多种，但最终的选择取决于所需的验证级别，以及需要覆盖的域名数量。

SSL证书共有三种验证级别，包括提供最高验证等级的扩展验证（EV）、组织验证（OV）和域名验证（DV）。之后您还需要确认所需的是单域名、通配符还是多域名SSL证书。

购买SSL证书

建议从受信任的证书颁发机构（CA）处购买证书，例如Sectigo。证书颁发机构（CA）负责验证证书申请，并签发浏览器和系统认可的受信任证书。完成购买后，CA会引导您完成后续步骤，包括证书验证和签发。

生成CSR

证书签名请求在SSL证书生命周期的早期阶段（包括申请、注册和签发环节）发挥着关键作用。您必须在流程开始时创建并提交CSR，没有CSR将无法完成安装。这些加密消息包含申请SSL/TLS证书的个人或组织的关键信息。

用于识别申请者的信息包括：

一个或多个使用者备用名称（SAN），该字段对应域名系统（DNS）中的指定位置。
组织名称，例如OV和EV证书所需的官方公司名称；组织所在的法定地址。
（可选）申请组织使用的，或与其关联的电子邮件地址。

创建CSR时会自动生成公钥，公钥是SSL证书所需密钥对的其中一部分。获取CSR中的信息后，CA即可着手制作申请的证书。

不同服务器/平台的SSL安装

不同服务和平台的SSL安装流程可能存在差异。因此，您需要遵循对应服务器的专属操作说明，确保证书正确安装。我们在下方列出了部分安装流程示例：

Zimbra。访问Zimbra管理控制台，依次选择配置，再选择证书下一步，选择安装证书。使用证书安装向导选择目标服务器，以及“安装商业签名证书”选项。上传相关文件后，点击安装。
Nginx 网页服务器。您将通过ZIP压缩包收到一个“ca-bundle”文件。请使用命令 cat domain_com.crt domain_com.ca-bundle > ssl-bundle.crt 将证书文件与CA根证书包拼接。随后，将拼接后的证书包与私钥存入对应的Nginx SSL目录。建议启用OCSP Stapling以提升SSL握手速度。检查配置语法无误后，重启服务器。
Tomcat 密钥库。首先执行命令 keytool -import -trustcacerts -alias server -file your_site_name.p7b -keystore your_site_name.jks. 确认信息应显示证书回复已安装。请确认您信任该证书。配置时，请使用文本编辑器打开Tomcat的server.xml文件，找到密钥库将要保护的连接器，指定密钥库文件名与密码。保存server.xml文件的修改后，重启Tomcat。
Outlook Web Access。打开Internet服务管理器，进入“属性”页面，选择 目录安全 和 服务器证书。在 待处理的证书请求 中，选择选项以 处理待处理请求。在 处理待处理请求 中找到之前收到的证书，查看证书摘要后点击 下一步。安装中间证书并为Outlook Web Access启用SSL。此操作涉及 Exchange 目录，具体是在 目录安全 选项卡下，点击编辑中的 安全通信。勾选对应的 需要安全通道（SSL）。